Integrieren der Codeüberprüfung
Du kannst Codeanalysetools von Drittanbietern und GitHub code scanning integrieren, indem du Daten als SARIF-Dateien hochlädst.
Wer kann dieses Feature verwenden?
Code scanning ist für die folgenden Repositorytypen verfügbar:
- Öffentliche Repositorys auf GitHub.com
- Repositorys im Besitz von Organisationen auf GitHub Team oder GitHub Enterprise Cloud,die GitHub Code Security aktiviert haben
Informationen zur Integration mit Codeüberprüfung
Du kannst die code scanning extern durchführen und die Ergebnisse dann auf GitHub anzeigen. Alternativ kannst du Webhooks konfigurieren, die an der Aktivität der code scanning in deinem Repository lauschen.
Verwenden der Codeüberprüfung mit deinem vorhandenen CI-System
Du kannst deinen Code mit CodeQL CLI oder einem anderen Tool im Continuous-Integration-System eines Drittanbieters analysieren und die Ergebnisse auf GitHub hochladen. Die sich daraus ergebenden Warnungen der code scanning werden zusammen mit allen Warnungen angezeigt, die in GitHub generiert wurden.
Hochladen einer SARIF-Datei in GitHub
Du kannst SARIF-Dateien von statischen Analysewerkzeugen von Drittanbietern in GitHub hochladen und code scanning-Warnungen von diesen Werkzeugen in Deinem Repository sehen.
SARIF-Unterstützung für die Codeüberprüfung
Um Ergebnisse aus einem statischen Drittanbieter-Analysetool in deinem Repository auf GitHub anzuzeigen, müssen deine Ergebnisse in einer SARIF-Datei gespeichert sein, die einen bestimmten Teil des JSON-Schemas von SARIF 2.1.0 für code scanning unterstützt. Wenn du die statische Standard-Analyse-Engine von CodeQL verwendest, werden deine Ergebnisse automatisch in deinem Repository auf GitHub angezeigt.