البدء

الإصدار الحالي: v3.4.1. تُبنى صور المحرك الآن بلغة Go 1.27 وتشحن بها، فيُحمّل govulncheck أي وحدة يتطلب ملف go.mod الخاص بها الإصدار Go 1.27 أو أقدم — وكان السقف السابق 1.25. لا تغييرات في الفاحصات أو البصمات أو رموز الخروج، ويبقى الحد الأدنى لإصدار وحدات Go عند 1.25. v3.4.0: لم يعد بالإمكان أن يبدو المسح مكتملًا وهو ليس كذلك. صار كل محلل قد يتعطل بصمت — اكتشاف نقاط النهاية، ومحلل المواصفة، والمسابير النشطة، والأسرار، وtextscan، وsemgrep، وgovulncheck، وpip، وnpm، ومحرك Python وفحوصه، والإضافات — يسجّل مرة في كل مسح ما إذا كان قد عمل، وإن لم يعمل فسببًا قابلًا للقراءة آليًا: غير قابل للتطبيق، أو معطَّل براية، أو اعتمادية مفقودة، أو هدف غير مدعوم، أو فشل مع سببه. وتقول كتلة metadata.coverage الجديدة في التقرير ما إذا كان كل ما أُعدّ المسح لتنفيذه قد نُفّذ فعلًا وتسمّي الفجوات. وصار مسح عنوان URL الذي لا يجد أي نقطة نهاية يكتب تقريره قبل الخروج بالرمز 2 بدل أن يختفي؛ وتحوّل --fail-on-coverage-gap و--require-analyzers الفجوة إلى بناء مُخفق، وهما معطّلتان افتراضيًا؛ ويُعاد فشل الشبكة العابر في فاحص الاعتماديات مرة واحدة داخل العملية؛ وتعرض تقارير SARIF وHTML وPDF جدول التغطية؛ وتشحن صورة Docker الآن أدوات Go كي يعمل govulncheck داخلها. أما هوية النتائج والتقييم ورموز الخروج الافتراضية فلم تتغير. v3.3.0: لم تعد الترقية تقسم النتيجة التي تتابعها إلى نتيجة مغلقة وأخرى جديدة: صارت التقارير تحمل الهوية القديمة إلى جانب الحالية، لغرض واحد هو الجَسر بين الاثنتين لكل نظام يتابع النتائج عبر تغيير الهوية في v3.0. لا شيء يعتمد عليها في التقييم أو التصفية، والهوية الحالية لم تتغير، فتبقى الأسس المحفوظة وقواعد fingerprint: في .fendix-ignore مطابقة كما هي. كذلك صارت قائمة الفحوص التي أجراها المسح صادقة — تُبنى مما اكتمل فعلًا لا مما جرى إعداده، فلم يعد الفاحص غير المتاح يُذكر كأنه عمل. وفي v3.2.0 صار كل قرار حظر يشرح نفسه: صار كل قرار حظر يشرح نفسه داخل التقرير. تحمل النتيجة القرار، والسياسة التي اتُّخذ بموجبها، وصنف الدليل الذي برّره، وتفصيلًا قاعدةً بقاعدة لدرجة الثقة — ويقول تقريرا JSON وSARIF الشيء نفسه، فيصير سؤال «لماذا أخفق خط الإنتاج لديّ؟» قابلًا للإجابة دون فتح Fendix. وأي بناء حُظر لمجرد أن فرض الثقة كان مُعطَّلًا يُوسم بذلك صراحةً، ولا تُوسم النتائج غير الحاظرة كأنها حظرت. وأوقف الإصدار v3.1.0 ادعاء النتائج بأكثر مما أثبتته: صار CORS بحرف بدل مع بيانات الاعتماد خطأ تهيئة لا ثغرة مُستغَلّة ولم يعد يُفشل البناء، ويُرتَّب غياب تحديد المعدّل بحسب قابلية العملية لإساءة الاستخدام، وتُقيَّم ترويسات أمان المتصفح بحسب نوع الاستجابة التي وردت عليها، ولا يُبلَّغ عن المسار الديناميكي بوصفه اجتيازًا مُثبَتًا، وتتوقف بيانات الاختبار الواضحة عن أن تُعامَل تسريبًا، ولم يعد الاستيراد غير المحلول دليلًا على أن الاعتمادية غير مستخدمة. ويوفّر المحرك محرك SAST موحدًا للمسح النصي يدعم Go/JS/IaC/Java، وتقارير قرار (BLOCK / WARN / INFO مع نطاق ثقة حتمي)، وتقارير PDF وصفحات HTML بالعربية، وتكاملات Jira / Slack / Teams، وفحوصات واعية بالفروق تعمل عند كل التزام (fendix scan --code . --diff --staged --fast)، وبوابة ما قبل الالتزام fendix hook install، وسلاسل تتبّع Proven Path المُصدَّرة كـ codeFlows بصيغة SARIF، وتحليل SCA متعدٍّ للاعتماديات في Python عبر poetry.lock / Pipfile.lock. وغيّر الإصدار v3.0 هوية النتيجة: صارت الهوية مبنية على القاعدة والملف والرمز والعملية بدل ارتباطها جزئيًا بالسطر، فتصمد أمام التعديلات فوقها — لكن خط الأساس المحفوظ بإصدار أقدم لا يطابق شيئًا ويجب إعادة توليده بـ --save-baseline، ومعه أي قاعدة .fendix-ignore تثبّت قيمة fingerprint:. وما يزال سلوك v2.0 في خطوط CI ساريًا: تستشير --fail-on نطاق الثقة الحتمي لا الخطورة وحدها — وتعيد --enforce-confidence=false التعيين السابق كما كان بالضبط. على مجموعة الدقة الاصطناعية المُصنَّفة، يحقق fendix F1 = 1.000 عبر جميع فئات الكشف. راجع /performance للاطلاع على معيار البدء البارد و/accuracy للاطلاع على بطاقة درجات الدقة/الاستدعاء.