# 코드 검색을 위한 SARIF 파일 정보

SARIF 파일은 타사 분석 결과를 GitHub의 경고로 변환합니다.

> \[!NOTE]
> code scanning의 기본 설정을 사용하거나, GitHub Actions를 사용해 CodeQL 작업을 실행하는 고급 설정을 사용하는 경우에는 SARIF 파일을 직접 다룰 필요가 없습니다. 검사 결과는 자동으로 업로드되고 code scanning 경고로 분석됩니다.

SARIF는 *정적 분석 결과 교환 형식을 의미합니다*. 정적 분석 도구의 결과를 저장하기 위한 JSON 기반 표준입니다.

**타사 분석 도구 또는 CI/CD 시스템을** 사용하여 코드에서 취약성을 검사하는 경우 SARIF 파일을 생성하여 업로드할 GitHub수 있습니다.
GitHub는 SARIF 파일을 분석하고 리포지토리에 있는 결과를 사용해 code scanning 환경의 일부로 경고를 표시합니다.

GitHub 는 SARIF 파일의 속성을 사용하여 경고를 표시합니다. 예를 들어, `shortDescription` 및 `fullDescription`은 code scanning 경고의 맨 위에 표시됩니다.
`location`을(를) 사용하면 GitHub에서 코드 파일에 주석을 표시할 수 있습니다.

이 문서에서는 GitHub에서 SARIF 파일이 어떻게 사용되는지 설명합니다. SARIF에 대해 처음 접하고 더 자세히 알아보고 싶다면 Microsoft의 [`SARIF tutorials`](https://github.com/microsoft/sarif-tutorials) 리포지토리를 참고하는 것이 좋습니다.

## 버전 요구 사항

Code scanning 는 [SARIF 2.1.0](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html) JSON 스키마의 하위 집합을 지원합니다. 타사 도구의 SARIF 파일이 이 버전을 사용하는지 확인합니다.

## 업로드 방법

GitHub Actions, code scanning API 또는 CodeQL CLI를 사용하여 SARIF 파일을 업로드할 수 있습니다. 최상의 업로드 방법은 SARIF 파일을 생성하는 방법에 따라 달라집니다. 자세한 내용은 [GitHub에 SARIF 파일 업로드](/ko/enterprise-server@3.22/code-security/how-tos/find-and-fix-code-vulnerabilities/integrate-with-existing-tools/upload-sarif-file)을(를) 참조하세요.