今天我们发布软件开发机器人，帮助你更快地将安全、可靠的代码投入生产。

• Rollouts 会跟踪一项变更从 PR 到生产环境的全过程，标记回归问题，并采取行动恢复健康状态。
• Security Reviewer 会发现并修复你代码库中的安全问题。

我们为什么构建这些

编写代码不再是慢的那一环。没有加速的是 PR 提交之后的一切：确保代码安全、盯住部署、判断延迟上升是否属实、弄清楚十一个变更中究竟是哪一个弄坏了结账流程。

这类工作既困难又重复，还需要大量上下文。听起来正是机器人应该干的活！

我们说过，我们正在朝着自动驾驶式代码库的方向构建。Rollouts 和 Security Review 自主处理每个软件团队都希望自己拥有更多专业知识和时间去做的常见任务。

Rollouts

Rollouts 会跟踪一项变更，从 PR 打开的那一刻，一直到你确信它在生产环境中正常工作为止。

连接源代码管理、你的部署系统和你的遥测工具（Datadog、Grafana、Honeycomb，或者你的指标和追踪数据所在的任何地方）。在合并之前，Rollouts 会读取 diff 并撰写一份监控计划：它识别到的风险、该变更预期产生的影响，以及你的埋点无法告诉你它是否奏效的地方。如果计划遗漏了什么，你可以编辑它。

部署之后，Rollouts 会将计划中的信号与部署前的基线进行对比。当它发现回归时，会告诉你它怀疑是哪项变更，以及它计划采取什么措施。取决于你的配置方式，这可能是一条发给作者的提醒、一次暂停的渐进式发布，或者一个等待审批的回滚 PR。

它目前擅长做三件事：

• 它能在全局告警触发之前，捕获局限于某一区域某个端点的回归
• 它能区分预期影响与回归，因此有意的峰值不会触发任何人的告警
• 它会在合并前标记出缺失的埋点，而这正是糟糕变更被忽视的最常见原因

即将推出：功能开关集成，让 Rollouts 能够直接增减流量，以及对发布列车和部署冻结的感知。

安全审查器

安全审查器会在每个 PR 上运行，结合整个代码库的上下文来阅读变更，并报告漏洞，附带解释和拟议的修复方案。

静态分析靠模式匹配：它会把 SQL 调用附近的每一处字符串拼接都标记出来，却漏掉了那次重构之后就不再运行的授权检查。Security Review 像安全工程师那样阅读代码：用户输入从哪里进入，最终到哪里去，途中经过了哪些环节。

开箱即用，它会查找：

• 跨 SQL、命令、模板和 LDAP 层面的注入
• 新增和变更路由上缺失或失效的身份认证与授权
• 提交到源码中的密钥和凭据
• 不安全的反序列化和未经验证的重定向
• 引入已知漏洞的依赖变更
• 基础设施和配置中的不安全默认设置

每一条发现都包含严重程度、攻击路径和一键修复。

Rollouts 和 Security Reviewer 现已在 Teams 和 Enterprise 套餐中提供。在 automations 标签页中启用任一机器人即可开始使用。