Nota: Este artículo describe las características disponibles con la versión de la acción de CodeQL y el paquete asociado del CLI de CodeQL que se incluye en el lanzamiento inicial de esta versión de GitHub Enterprise Server. Si tu empresa utiliza una versión más reciente de la acción de CodeQL, consulta el artículo de Nube de GitHub Enterprise para obtener más información sobre las últimas características. Para obtener más información sobre cómo utilizar la última versión, consulta la sección "Configurar el escaneo de código para tu aplicativo".
Producir bitácoras detalladas para la depuración
Para producir una salida más detallada de bitácoras, puedes habilitar el registro de depuración de pasos. Para obtener más información, consulta la sección "Habilitar el registro de depuración."
Compilación automática para los fallos de un lenguaje compilado
Si una compilación automática de código para un lenguaje compilado dentro de tu proyecto falla, intenta los siguientes pasos de solución de problemas.
-
Elimina el paso de
autobuild
de tu flujo de trabajo de escaneo de código y agrega los pasos de compilación específicos. Para obtener información sobre cómo editar el flujo de trabajo, consulta la sección "Configurar el escaneo de código". Para obtener más información sobre cómo reemplazar el paso deautobuild
, consulta la sección "Configurar el flujo de trabajo de CodeQL para los lenguajes compilados". -
Si tu flujo de trabajo no especifica explícitamente los lenguajes a analizar, CodeQL detectará implícitamente los lenguajes compatibles en tu código base. En esta configuración, fuera de los lenguajes compilados C/C++, C#, y Java, CodeQL solo analizará el lenguaje presente en la mayoría de los archivos de origen. Edita el flujo de trabajo y agrega una matriz que especifique los lenguajes que quieras analizar. El flujo de análisis predeterminado de CodeQL utiliza dicha matriz.
Los siguientes extractos de un flujo de trabajo te muestran cómo puedes utilizar una matriz dentro de la estrategia del job para especificar lenguajes, y luego hace referencia a cada uno de ellos con el paso de "Inicializar CodeQL":
jobs: analyze: ... strategy: fail-fast: false matrix: language: ['csharp', 'cpp', 'javascript'] steps: ... - name: Initialize CodeQL uses: github/codeql-action/init@v1 with: languages: ${{ matrix.language }}
Para obtener más información acerca de editar el flujo de trabajo, consulta la sección "Configurar el escaneo de código".
No se encontró código durante la compilación
Si tu flujo de trabajo falla con un error de No source code was seen during the build
o de The process '/opt/hostedtoolcache/CodeQL/0.0.0-20200630/x64/codeql/codeql' failed with exit code 32
, esto indica que CodeQL no pudo monitorear tu código. Hay muchas razones que podrían explicar esta falla:
-
Puede que el repositorio no contenga código fuente que esté escrito en los idiomas que son compatibles con CodeQL. Haz clic en la lista de lenguajes compatibles y, si es necesario, elimina el flujo de trabajo de CodeQL. Para obtener más información, consulta la sección "Acerca del escaneo de código con CodeQL
-
La detección automática del lenguaje identificó un lenguaje compatible, pero no hay código analizable en dicho lenguaje dentro del repositorio. Un ejemplo típico es cuando nuestro servicio de detección de lenguaje encuentra un archivo que se asocia con un lenguaje de programación específico como un archivo
.h
, o.gyp
, pero no existe el código ejecutable correspondiente a dicho lenguaje en el repositorio. Para resolver el problema, puedes definir manualmente los lenguajes que quieras analizar si actualizas la lista de éstos en la matriz delanguage
. Por ejemplo, la siguiente configuración analizará únicamente a Go y a Javascript.strategy: fail-fast: false matrix: # Override automatic language detection by changing the list below. # Supported options are listed in a comment in the default workflow. language: ['go', 'javascript']
Para obtener más información, consulta el extracto de flujo de trabajo en la sección "Compilación automática para los fallos de un lenguaje compilado" que se trata anteriormente.
-
Tu flujo de trabajo de escaneo de código está analizando un lenguaje compilado (C, C++, C#, o Java), pero el código no se compiló. Predeterminadamente, el flujo de trabajo de análisis de CodeQL contiene un paso de
autobuild
, sin embargo, este paso representa un proceso de mejor esfuerzo y podría no tener éxito en compilar tu código, dependiendo de tu ambiente de compilación específico. También podría fallar la compilación si eliminaste el paso deautobuild
y no incluiste manualmente los pasos de compilación. Para obtener más información acerca de especificar los pasos de compilación, consulta la sección "Configurar el flujo de trabajo de CodeQL para los lenguajes compilados". -
Tu flujo de trabajo está analizando un lenguaje compilado (C, C++, C#, or Java), pero algunas porciones de tu compilación se almacenan en caché para mejorar el rendimiento (esto muy probablemente ocurra con los sistemas de compilación como Gradle o Bazel). Ya que CodeQL observa la actividad del compilador para entender los flujos de datos en un repositorio, CodeQL requiere que suceda una compilación completa para poder llevar a cabo este análisis.
-
Tu flujo de trabajo está analizando un lenguaje compilado (C, C++, C#, or Java), pero no ocurre ninguna compilación entre los pasos de
init
yanalyze
en el flujo de trabajo. CodeQL requiere que tu compilación tome lugar entre estos dos pasos para poder observar la actividad del compilador y llevar a cabo el análisis. -
Tu código compilado (en C, C++, C#, or Java) se compiló con éxito, pero CodeQL no pudo detectar las invocaciones del compilador. Las causas más comunes son:
- Ejecutar tu proceso de compilación en un contenedor separado a CodeQL. Para obtener más información, consulta la sección "Ejecutar el escaneo de código de CodeQL en un contenedor".
- Compilar utilizando un sistema de compilación distribuida externo a GitHub Actions, utilizando un proceso de daemon.
- CodeQL no está consciente del compilador específico que estás utilizando.
En el caso de los proyectos de .NET Framework y C# que utilicen ya sea
dotnet build
omsbuild
, deberás especificar/p:UseSharedCompilation=false
en el paso derun
de tu flujo de trabajo cuando compiles tu código.Por ejemplo, la siguiente configuración para C# pasará el marcador durante el primer paso de compilación.
- run: | dotnet build /p:UseSharedCompilation=false
Si encuentras otro problema con tu compilador específico o con tu configuración, contacta a tu administrador de sitio.
Para obtener más información acerca de especificar los pasos de compilación, consulta la sección "Configurar el flujo de trabajo de CodeQL para los lenguajes compilados".
Algunas porciones de mi repositorio no se analizaron con autobuild
La característica de autobuild
de CodeQL utiliza la heurística para compilar el código en un repositorio, sin embargo, algunas veces este acercamiento da como resultado un análisis incompleto de un repositorio. Por ejemplo, cuando existen comandos múltiples de build.sh
en un solo repositorio, el análisis podría no completarse, ya que el paso de autobuild
solo se ejecutará en uno de los comandos. La solución es reemplazar el paso de autobuild
con los pasos de compilación que compilarán todo el código fuente que quieras analizar. Para obtener más información, consulta la sección "Configurar el flujo de trabajo de CodeQL para los lenguajes compilados".
La compilación tarda demasiado
Si tu compilación con análisis de CodeQL toma demasiado para ejecutarse, hay varios acercamientos que puedes intentar para reducir el tiempo de compilación.
Incrementar la memoria o los núcleos
Si utilizas ejecutores auto-hospedados para ejecutar el análisis de CodeQL, puedes incrementar la memoria o la cantidad de núcleos en estos ejecutores.
Utilizar matrices de compilación para paralelizar el análisis
El Flujo de trabajo de análisis de CodeQL predeterminado utiliza una matriz de lenguajes, lo cual ocasiona que el análisis de cada uno de ellos se ejecute en paralelo. Si especificaste los lenguajes que quieres analizar directamente en el paso de "Inicializar CodeQL", el análisis de cada lenguaje ocurrirá de forma secuencial. Para agilizar el análisis de lenguajes múltiples, modifica tu flujo de trabajo para utilizar una matriz. Para obtener más información, consulta el extracto de flujo de trabajo en la sección "Compilación automática para los fallos de un lenguaje compilado" que se trata anteriormente.
Reducir la cantidad de código que se está analizando en un solo flujo de trabajo
El tiempo de análisis es habitualmente proporcional a la cantidad de código que se esté analizando. Puedes reducir el tiempo de análisis si reduces la cantidad de código que se analice en cada vez, por ejemplo, si excluyes el código de prueba o si divides el análisis en varios flujos de trabajo que analizan únicamente un subconjunto de tu código a la vez.
Para los lenguajes compilados como Java, C, C++ y C#, CodeQL analiza todo el código que se haya compilado durante la ejecución del flujo de trabajo. Para limitar la cantidad de código que se está analizando, compila únicamente el código que quieres analizar especificando tus propios pasos de compilación en un bloque de run
. Puedes combinar el especificar tus propios pasos de compilación con el uso de filtros de paths
o paths-ignore
en los eventos de pull_request
y de push
para garantizar que tu flujo de trabajo solo se ejecute cuando se cambia el código específico. Para obtener más información, consulta la sección "Sintaxis de flujo de trabajo para GitHub Actions".
En el caso de los lenguajes como Go, JavaScript, Python y TypeScript, los cuales analiza CodeQL sin compilar el código fuente, puedes especificar opciones adicionales de configuración para limitar la cantidad de código a analizar. Para obtener más información, consulta la sección "Especificar los directorios a escanear".
Si divides tu análisis en varios flujos de trabajo como se describió anteriormente, aún te recomendamos que por lo menos tengas un flujo de trabajo que se ejecute con un schedule
que analice todo el código en tu repositorio. Ya que CodeQL analiza los flujos de datos entre componentes, algunos comportamientos de seguridad complejos podrían detectarse únicamente en una compilación completa.
Ejecutar únicamente durante un evento de schedule
Si tu análisis aún es muy lento como para ejecutarse durante eventos de push
o de pull_request
, entonces tal vez quieras activar el análisis únicamente en el evento de schedule
. Para obtener más información, consulta la sección "Eventos".
Verificar qué suites de consultas ejecuta el flujo de trabajo
Predeterminadamente, existen tres suites de consultas principales disponibles para cada lenguaje. Si optimizaste la compilación de la base de datos de CodeQL y el proceso aún es demasiado largo, podrías reducir la cantidad de consultas que ejecutas. La suite de consultas predeterminada se ejecuta automáticamente; esta contiene las consultas de seguridad más rápidas con las tasas más bajas de resultados falsos positivos.
Podrías estar ejecutando consultas o suites de consultas adicionales además de aquellas predeterminadas. Verifica si el flujo de trabajo define una consulta o suite de consultas adicionales a ejecutar utilizando el elemento queries
. Puedes probar el inhabilitar la consulta o suite de consultas adicionales. Para obtener más información, consulta "Configurar escaneo de código".
Error: "Error de servidor"
Si la ejecución de un flujo de trabajo para escaneo de código falla debido a un error de servidor, trata de ejecutar el flujo de trabajo nuevamente. Si el problema persiste, contaca a tu administrador de sitio.
Error: "Out of disk" o "Out of memory"
En proyectos muy grandes, CodeQL podría quedarse sin memoria o espacio de disco en el ejecutor. Si llegas a tener este problema, intenta incrementar la memoria en el ejecutor.
Error: "is not a .ql file, .qls file, a directory, or a query pack specification"
Verás este error si CodeQL no puede encontrar la consulta, suite de consultas o paquete de consultas nombradas en la ubicación que se solicitó en el flujo de trabajo. Hay dos razones comunes para este error.
- Hay un error tipográfico en el flujo de trabajo.
- Un recurso al cual se refiere el flujo de trabajo por ruta se renombró, borró o movió a una ubicación nueva.
Después de verificar la ubicación del recurso, puedes actualizar el flujo de trabajo para especificar la ubicación correcta. Si ejecutas consultas adicionales en el análisis de Go, puede que te haya afectado la reubicación de los archivos fuente. Para obtener más información, consulta la sección Anuncio de reubicaicón: github/codeql-go
se está migrando a github/codeql
en el repositorio github/codeql-go.
Warning: "git checkout HEAD^2 is no longer necessary"
Si estás utilizando un flujo de trabajo de CodeQL antiguo, podrías obtener el siguiente mensaje de advertencia en la salida "inicializar CodeQL" de la acción:
Warning: 1 issue was detected with this workflow: git checkout HEAD^2 is no longer
necessary. Please remove this step as Code Scanning recommends analyzing the merge
commit for best results.
Puedes arreglar esto si eliminas las siguientes líneas del flujo de trabajo de CodeQL. Estas líneas se incluyeron en la sección de steps
del job Analyze
en las versiones iniciales del flujo de trabajo de CodeQL.
with:
# We must fetch at least the immediate parents so that if this is
# a pull request then we can checkout the head.
fetch-depth: 2
# If this run was triggered by a pull request event, then checkout
# the head of the pull request instead of the merge commit.
- run: git checkout HEAD^2
if: ${{ github.event_name == 'pull_request' }}
La sección revisada de steps
en el flujo de trabajo se deberá ver así:
steps:
- name: Checkout repository
uses: actions/checkout@v2
# Initializes the CodeQL tools for scanning.
- name: Initialize CodeQL
uses: github/codeql-action/init@v1
...
Para obtener más información sobre la edición del archivo de flujo de trabajo de CodeQL, consulta la sección "Configurar escaneo de código".