Skip to main content

About CodeQL code scanning in your CI system

You can analyze your code with CodeQL in a third-party continuous integration system and upload the results to GitHub.com. The resulting code scanning alerts are shown alongside any alerts generated within GitHub.

Code scanning is available for all public repositories on GitHub.com. Code scanning is also available for private repositories owned by organizations that use GitHub Enterprise Cloud and have a license for GitHub Advanced Security. Para más información, consulte "Acerca de GitHub Advanced Security".

About CodeQL code scanning in your CI system

Code scanning es una característica que utilizas para analizar el código en un repositorio de GitHub para encontrar vulnerabilidades de seguridad y errores de código. Cualquier problema que se identifique con el análisis se muestra en GitHub. For information, see "About code scanning with CodeQL."

Puedes ejecutar el code scanning de CodeQL dentro de GitHub utilizando GitHub Actions. Como alternativa, si utilizas un sistema de integración o despliegue/entrega contínua (IC/ID) de terceros, puedes ejecutar un análisis de CodeQL en tu sistema existente y cargar los resultados a GitHub.com.

Puede agregar CodeQL CLI al sistema de terceros y luego llamar a la herramienta para analizar código y cargar los resultados de SARIF en GitHub. Las alertas del code scanning resultantes se muestran junto con cualquier alerta que se genere dentro de GitHub. Para más información, vea "Acerca del análisis de código de CodeQL en el sistema de CI".

Si ejecuta el análisis de código mediante varias configuraciones, en ocasiones una alerta tendrá varios orígenes de análisis. Si una alerta tiene varios orígenes de análisis, puede ver el estado de la alerta para cada origen de análisis en la página de alertas. Para más información, vea "Acerca de los orígenes de análisis".

Nota: Cargar datos de SARIF para mostrarlos como resultados de code scanning en GitHub es compatible para los repositorios que pertenezcan a organizaciones con la GitHub Advanced Security habilitada y para los repositorios públicos en GitHub.com. Para más información, vea "Administración de la configuración de seguridad y análisis para el repositorio".

About the CodeQL CLI

El CodeQL CLI es un producto independiente que puedes utilizar para analizar código. Su propósito principal es generar una representación de base de datos de una base de código, una base de datos de CodeQL. Una vez que esté lista la base de datos, puedes consultarla interactivamente o ejecutar una suite de consultas para generar un conjunto de resultados en formato SARIF y cargarlos a GitHub.com.

Use the CodeQL CLI to analyze:

  • Dynamic languages, for example, JavaScript and Python.
  • Compiled languages, for example, C/C++, C# and Java.
  • Codebases written in a mixture of languages.

For more information, see "Installing CodeQL CLI in your CI system."

Notas:

  • La CodeQL CLI puede usarse libremente en repositorios públicos. CodeQL CLI también está disponible en los repositorios privados que pertenecen a las organizaciones que usan GitHub Enterprise Cloud y que tienen una licencia de GitHub Advanced Security. Para obtener información, vea "Términos y condiciones de GitHub CodeQL" y "CLI de CodeQL".
  • La CodeQL CLI no es compatible actualmente con distribuciones de Linux que no sean glibc, como Alpine Linux (basado en musl).