Зачем расширение NotHoly для VS Code для ревью кода

Ревью кода на безопасность в обычном ассистенте идёт двумя путями, оба плохи. Он мнётся, когда вы просите найти эксплуатируемый баг или написать доказательство, что баг реален, или вы вставляете функцию в чат и теряете импорты, вызывающий код и остальной файл, которые решают, достижим ли баг. Расширение NotHoly делает ревью файла и diff там, где они живут, в VS Code, Cursor, Windsurf или VSCodium, и модель за ним берёт вопрос безопасности. Сценарий ревью кода содержит поток; здесь речь о расширении.

#Ревью файла или diff

Откройте файл и запустите Review this file. Агент читает его, с любыми несохранёнными правками, и перечисляет найденное в панели Problems, каждый пункт это место для перехода. Review changes шлёт ваш git diff, незастейдженные изменения или застейдженные, когда незастейдженных нет, так что pull request получает проход по безопасности, прежде чем уйти с ветки. Explain selection берёт блок, который вы выделяете, а Investigate a CVE тянет запись и объясняет её в чате. Модель не останавливается спорить, разрешено ли читать в поиске уязвимости, потому что это и есть работа ревьюера. Справочник команд перечисляет их все. Селектор моделей перечисляет каталог с ценой каждой модели, и когда акция делает одну из них бесплатной для вашего аккаунта, он показывает тег free с зачёркнутой тарифной ценой. Каждый ответ показывает счётчики токенов, а последние тридцать бесед остаются на этой машине в History.

#От находки к тесту и правилу

Находка полезнее, когда оставляет что-то после себя. Write a regression test for the selection просит у агента тест, который поймал бы баг безопасности в выбранном коде, чтобы исправление осталось исправленным. Write a detection rule for the selection возвращает правило Sigma, Semgrep или YARA для паттерна, чтобы та же ошибка ловилась в другом месте. Apply suggested fix открывает изменение как diff с Accept и Reject, а ход, который писал файлы, кончается Undo changes, который возвращает написанное. Вы читаете каждую правку и каждую команду на карточке до запуска. Блок shell в чате несёт Run in terminal, который кладёт команду в ваш prompt и оставляет Enter вам, так что ничего не запускается врасплох, а вложения работают только в доверенном workspace.

#Остаётся в вашем редакторе, со стражами

Расширение уважает Workspace Trust. В недоверенной папке у агента нет инструментов, и он отвечает только текстом, так что он не читает файлы и не запускает команды, пока вы не доверите папку. Чтение или запись вне workspace спрашивает сначала, а пути с учётными данными вроде .env, .ssh и .aws заставляют вас набрать имя файла обратно, а grep их пропускает. После чтения файла вне workspace или учётных данных web- или KB-поиск показывает запрос, прежде чем он уйдёт с вашей машины. Команда, которую вы одобряете, идёт в вашем shell, в папке workspace, с вашими правами и без ключа NotHoly в окружении. Сам ключ лежит в хранилище секретов редактора, а для CI вы задаёте его в окружении.

code --install-extension notholy-vscode-latest.vsix

#Где не подходит

Это не статический анализатор. Модель может пропустить настоящий баг и отметить тот, которого нет, так что чистое ревью не гарантия, а находка это зацепка для проверки. Zero Questions запускает правки и команды без вопроса и может осушить баланс, так что он для sandbox, не для репозитория клиента. В недоверенном workspace инструменты ревью выключены намеренно, а три редактора, которые не VS Code, у нас не тестируются. Расширению нужен login, так что оно привязано к аккаунту и e-mail, и модель может ошибаться, как любая модель.

Держите ревью в редакторе, рядом с кодом, который даёт ему контекст. Поставьте со страницы расширения, потом пополните на тарифах.