Fix code scanning alert - Binary-Artifacts about buddy-api HOT 2 CLOSED

Resumo do Problema:

O alerta foi gerado porque o repositório contém o arquivo binário gradle-wrapper.jar, que não pode ser revisado.

Prós de Não Incluir Binários:

1. Segurança: Binários não revisáveis podem conter vulnerabilidades ou código malicioso.
2. Manutenção: Mantém o processo de build funcional e reproduzível.
3. Conformidade: Alinha-se com as melhores práticas de repositórios de código aberto.

Contras de Não Incluir Binários:

1. Conveniência: Novos contribuidores precisam gerar o wrapper manualmente.
2. Complexidade: Necessidade de scripts adicionais para automação do build.

Ações Sugeridas:

1. Remover gradle-wrapper.jar do repositório.
2. Adicionar gradle-wrapper.jar ao .gitignore.
3. Configurar o build para gerar o wrapper automaticamente.

Compromisso com a Manutenção:

Estamos comprometidos em seguir as melhores práticas de segurança e manter um repositório limpo e seguro. Continuaremos a monitorar e melhorar nossos processos para garantir a qualidade do projeto.

Por favor, acompanhem as futuras atualizações e contribuam para a melhoria contínua do projeto.

from buddy-api.

Decisão Temporária: Ignorar Alerta de Binários

Devido à necessidade de manter os binários no repositório para garantir o funcionamento contínuo do pipeline de CI/CD, tomamos a decisão temporária de ignorar o alerta referente à presença de binários no repositório.

Esses binários são essenciais para a execução dos processos de build no GitHub Actions e na entrega em produção via Jenkins, e atualmente não há uma solução alternativa que atenda às nossas necessidades sem comprometer a eficiência do pipeline.

Entendemos os riscos associados a manter binários no controle de versão e estamos cientes das melhores práticas. Planejamos reavaliar essa decisão futuramente para alinhar o repositório com as diretrizes de segurança e evitar a inclusão de código não revisável.

Estaremos monitorando qualquer impacto negativo e revisaremos essa decisão quando possível. Uma solução a longo prazo está sendo considerada, como a externalização dos binários ou o uso de uma ferramenta de armazenamento apropriada (como Git LFS).

from buddy-api.