Acerca de la evaluación de una nueva configuración de code scanning
Cuando empieces a usar code scanning, es probable que uses la configuración predeterminada. En esta guía se describe cómo evaluar cómo funciona la configuración predeterminada de code scanning y qué pasos deben realizarse si algo no funciona según lo previsto. En esta guía también se describe cómo puede personalizarse code scanning si se encuentra un caso de uso específico que no se ajusta a la nueva configuración.
Personalización de code scanning
Al establecer por primera vez la configuración predeterminada, o después de un análisis inicial del código, puede editarse el conjunto de consultas que se ejecutará durante el análisis. El conjunto de consultas default contiene un conjunto de consultas diseñadas cuidadosamente para buscar los problemas de seguridad más relevantes, a la vez que minimiza los resultados falsos positivos. Sin embargo, se puede usar el conjunto security-extended para ejecutar consultas adicionales, que tienen una precisión ligeramente inferior. Para obtener más información sobre los conjuntos de consultas disponibles, consulta "Conjuntos de consultas codeQL".
Para obtener más información sobre cómo personalizar la configuración predeterminada, consulta "Editar la configuración predeterminada".
Uso de la configuración avanzada
Si se considera que todavía es necesario un control más granular sobre code scanning, se puede usar la configuración avanzada. La configuración avanzada requiere mucho más esfuerzo para configurar, personalizar y mantener, por lo que se recomienda habilitar primero la configuración predeterminada. Para obtener más información sobre la configuración avanzada, consulta "Establecimiento de la configuración avanzada del examen de código con CodeQL" y "Personalizar la configuración avanzado de para el análisis de código".
Evaluación de code scanning con página de estado de la herramienta
La página de estado de la herramienta muestra información útil sobre todas las herramientas de code scanning. Se puede usar para investigar si las herramientas individuales funcionan para un repositorio, cuando los archivos del repositorio se examinaron por primera vez y más recientemente, y cuando se programan los próximos exámenes. También es un punto de partida útil para los problemas de depuración.
Mediante página de estado de la herramienta, se puede descargar la lista de reglas con las que code scanning está realizando la verificación, en formato CSV. Para herramientas integradas, como CodeQL, también se puede ver información más detallada, incluido un porcentaje de archivos examinados y mensajes de error específicos.
Si se considera que la configuración predeterminada no examina todos los archivos, es posible que se tenga que personalizar code scanning. Para obtener más información, consulta "Personalización del examen de código" en este artículo. Como alternativa, o si algo más no funciona según lo previsto, se puede buscar en nuestra documentación de solución de problemas dedicada útil. Para obtener más información, consulta "Solucionar problemas del escaneo de código".
Para obtener más información sobre página de estado de la herramienta, consulta "Acerca de la página de estado de la herramienta para el examen de código".