Establecimiento de la configuración avanzada del examen de código con CodeQL

Acerca de la configuración avanzada delcode scanning

La configuración avanzada del code scanning es útil cuando necesitas un control más pormenorizado de la configuración del code scanning. La creación y edición de un archivo de flujo de trabajo de CodeQL permite cambiar la programación del examen, examinar cualquier lenguaje compatible con CodeQL, usar una compilación de matriz, etc.

También puedes configurar el code scanning con herramientas de terceros. Para obtener más información, consulta "Configuración del code scanning con acciones de terceros".

Si ejecutas el análisis de código con varias configuraciones, a veces se generará la misma alerta mediante más de una configuración. Si una alerta proviene de varias configuraciones, puedes ver el estado de la alerta para cada configuración en la página de alertas. Para obtener más información, vea «Acerca de las alertas de análisis de código».

Si no necesitas una configuración de code scanning muy personalizable, considera la posibilidad de usar la configuración predeterminada para el code scanning. Para obtener más información sobre la configuración predeterminada, consulta "Establecimiento de la configuración predeterminada para el examen del código".

Requisitos previos

El repositorio es válido para una configuración avanzada si:

• Usa lenguajes compatibles con CodeQL o tienes previsto generar resultados de examen del código con una herramienta de terceros.
• GitHub Actions está habilitado.
• Está visible públicamente o GitHub Advanced Security está habilitado.

Establecimiento de una configuración avanzada para un repositorio

La configuración avanzada del code scanning es útil cuando necesitas personalizar el code scanning. La creación y edición de un archivo de flujo de trabajo permite elegir las consultas que deben ejecutarse, cambiar la programación del examen, seleccionar los lenguajes que deben examinarse, usar una compilación de matriz, etc.

Configuración avanzada del code scanning con CodeQL

Puedes personalizar tus code scanning mediante la creación y edición de un archivo de flujo de trabajo. La selección de una configuración avanzada genera un archivo de flujo de trabajo básico para personalizarlo.

Al usar acciones para ejecutar code scanning se usarán minutos. Para más información, consulta "Acerca de la facturación para las Acciones de GitHub".

1. En GitHub.com, navega a la página principal del repositorio.

2. En el nombre del repositorio, haz clic en Configuración. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

   

3. En la sección "Seguridad" de la barra lateral, haz clic en Análisis y seguridad del código.

4. Desplázate hacia abajo hasta la sección "Code scanning", selecciona Configurar y, después, haz clic en Avanzado.

   Nota: Si vas a cambiar de la configuración predeterminada a la configuración avanzada, en la sección "Code scanning", selecciona y haz clic en Cambiar a avanzada. En la ventana emergente que aparece, haga clic en Deshabilitar CodeQL .

   

5. Para personalizar la forma en que el code scanning escanea tu còdigo, edita el flujo de trabajo.

   Generalmente, puedes confirmar el Flujo de trabajo de análisis de CodeQL sin hacerle ningún cambio. Pero muchos de los flujos de trabajo de terceros necesitan una configuración adicional, así que lea los comentarios del flujo de trabajo antes de confirmar.

   Para obtener más información, vea «Personalizar la configuración avanzado de para el análisis de código» y «Análisis de código de CodeQL para lenguajes compilados».

6. Haz clic en Confirmar cambios... para mostrar el formulario de confirmación de cambios.

   

7. En el campo de mensaje de confirmación, escribe un mensaje de confirmación.

8. Elija si quiere confirmar directamente en la rama predeterminada o crear una rama e iniciar una solicitud de incorporación de cambios.

9. Haz clic en Confirmar nuevo archivo para confirmar el archivo de flujo de trabajo en la rama predeterminada o haz clic en Proponer nuevo archivo para confirmar el archivo en una nueva rama.

10. Si has creado una nueva rama, haz clic en Crear solicitud de cambios y abre una solicitud de cambios para combinar el cambio en la rama predeterminada.

En el Flujo de trabajo de análisis de CodeQL sugerido, el code scanning se configura para analizar tu código cada vez que envíes un cambio a la rama predeterminada o a cualquier rama protegida, o que emitas una solicitud de incorporación cambios contra la rama predeterminada. Como resultado, el code scanning comenzarà ahora.

Los valores on:pull_request y on:push que se desencadenan para el examen de código son útiles para distintos propósitos. Para obtener más información, vea «Personalizar la configuración avanzado de para el análisis de código».

Para obtener información sobre la habilitación masiva, vea "Establecimiento de la configuración avanzada del examen de código con CodeQL a gran escala".

Configuración del code scanning con acciones de terceros

GitHub Enterprise Cloud proporciona flujos de trabajo de inicio para características de seguridad como code scanning. Puedes utilizar estos flujos de trabajo sugeridos para construir tus flujos de trabajo del code scanning en vez de comenzar desde cero.

Al usar acciones para ejecutar code scanning se usarán minutos. Para más información, consulta "Acerca de la facturación para las Acciones de GitHub".

1. En GitHub.com, navega a la página principal del repositorio.

2. En el nombre del repositorio, haz clic en Acciones.

   

3. Si el repositorio ya tiene al menos un flujo de trabajo configurado y en ejecución, haz clic en Nuevo flujo de trabajo para mostrar los flujos de trabajo iniciales. Actualmente no hay flujos de trabajo configurados para el repositorio, ve al siguiente paso.

   

4. En la vista "Elegir un flujo de trabajo" o "Introducción a GitHub Actions", desplázate hacia abajo hasta la categoría "Seguridad" y haz clic en Configurar en el flujo de trabajo que deseas configurar. Es posible que tengas que hacer clic en Ver todo para encontrar el flujo de trabajo de seguridad que deseas configurar.

   

5. Sigue las instrucciones del flujo de trabajo para personalizarlo según tus necesidades. Para obtener una ayuda más general sobre los flujos de trabajo, haz clic en Documentación en el panel derecho de la página de flujo de trabajo.

   

   Para obtener más información, vea «Utilizar flujos de trabajo iniciales» y «Personalizar la configuración avanzado de para el análisis de código».

Pasos siguientes

Después de configurar el code scanning y permitir que sus acciones se completen, puedes:

• Ver todas las alertas del code scanning que se han generado para este repositorio. Para obtener más información, vea «Administración de alertas de examen de código para el repositorio».
• Ver cualquier alerta que se genere para una solicitud de cambios que se emitió después de que configuraste el code scanning. Para obtener más información, vea «Clasificar las alertas del escaneo de código en las solicitudes de cambios».
• Configurar las notificaciones para las ejecuciones que se hayan completado. Para obtener más información, vea «Configuración de notificaciones».
• Conoce las comprobaciones de code scanning en las solicitudes de incorporación de cambios. Para obtener más información, "Clasificar las alertas del escaneo de código en las solicitudes de cambios".
• Visualizar las bitácoras que generó el análisis del code scanning. Para obtener más información, vea «Visualizar las bitácoras del escaneo de código».
• Investiga cualquier problema que ocurra con la configuración inicial del code scanning. Para obtener más información, vea «Solucionar problemas del escaneo de código».
• Personaliza cómo el code scanning escanea el código en tu repositorio. Para obtener más información, vea «Personalizar la configuración avanzado de para el análisis de código».