Nota: El administrador del sitio debe habilitar code scanning antes de que pueda utilizar esta característica. Si quieres utilizar GitHub Actions para escanear tu código, el administrador de sitio también puede habilitar las GitHub Actions y configurar la infraestructura que se requiera. Para obtener más información, vea «Configuración la digitalización de código para el dispositivo».
Acerca de la configuración avanzada de code scanning
La configuración avanzada del code scanning es útil cuando necesitas personalizar el code scanning. Mediante la creación y edición de un archivo de flujo de trabajo, puede definir cómo desarrollar lenguajes compilados, elegir las consultas que deben ejecutarse, seleccionar los lenguajes que deben examinarse, usar una compilación de matriz, etc. También tiene acceso a todas las opciones para controlar los flujos de trabajo, por ejemplo: cambiar la programación de examen, definir desencadenadores de flujos de trabajo, especificar los ejecutores especialistas que se van a usar. Para más información sobre los flujos de trabajo de GitHub Actions, consulte "Acerca de los flujos de trabajo".
Su administrador del sitio también puede hacer que acciones de terceros estén disponibles para el code scanning para los usuarios si configura GitHub Connect. Para obtener más información, vea «Configuración la digitalización de código para el dispositivo».
Si ejecutas el análisis de código mediante varias configuraciones, en ocasiones una alerta tendrá varios orígenes de análisis. Si una alerta tiene varios orígenes de análisis, puede ver el estado de la alerta para cada origen de análisis en la página de alertas. Para obtener más información, vea «Acerca de las alertas de análisis de código».
Nota: En este artículo se describen las características disponibles con la versión de la acción CodeQL y el paquete CodeQL CLI asociado que se incluyen en la versión inicial de esta versión de GitHub Enterprise Server. Si en la empresa se usa una versión más reciente de la acción CodeQL, consulta la versión de GitHub Enterprise Cloud de este artículo para obtener información sobre las características más recientes. Para obtener información sobre el uso de la última versión, consulta "Configuración la digitalización de código para el dispositivo."
Si no necesita una configuración de code scanning muy personalizable, considere la posibilidad de usar la configuración predeterminada para el code scanning. Para obtener más información sobre la configuración predeterminada, consulta "Establecimiento de la configuración predeterminada para el examen del código".
Requisitos previos
El repositorio es apto para la configuración avanzada si cumple estos requisitos.
- Usa lenguajes compatibles con CodeQL o tienes previsto generar resultados de examen del código con una herramienta de terceros.
- GitHub Actions está habilitado.
- GitHub Advanced Security está habilitado.
Si el servidor en el que ejecutas GitHub Enterprise Server no está conectado a Internet, el administrador del sitio puede habilitar CodeQL code scanning de forma que el conjunto de análisis CodeQL esté disponible en el servidor. Para obtener más información, vea «Configuración la digitalización de código para el dispositivo».
Configuración avanzada del code scanning con CodeQL
Puede personalizar sus análisis de CodeQL mediante la creación y edición de un archivo de flujo de trabajo. Al seleccionar la configuración avanzada, se genera un archivo de flujo de trabajo básico para personalizar mediante la sintaxis de flujo de trabajo estándar y se especifican opciones para la acción de CodeQL. Consulte “Acerca de los flujos de trabajo” y “Personalización de la configuración avanzada para el examen de código”.
-
En GitHub, navegue hasta la página principal del repositorio.
-
En el nombre del repositorio, haz clic en Configuración. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.
-
En la sección "Seguridad" de la barra lateral, haz clic en Análisis y seguridad del código.
-
Desplázate hacia abajo hasta la sección "Code scanning", selecciona Configurar y, después, haz clic en Avanzado.
Nota: Si vas a cambiar de la configuración predeterminada a la configuración avanzada, en la sección "Code scanning", selecciona y haz clic en Cambiar a avanzada. En la ventana emergente que aparece, haga clic en Deshabilitar CodeQL .
-
Para personalizar la forma en que el code scanning escanea tu còdigo, edita el flujo de trabajo.
Generalmente, puedes confirmar el Flujo de trabajo de análisis de CodeQL sin hacerle ningún cambio. Pero muchos de los flujos de trabajo de terceros necesitan una configuración adicional, así que lea los comentarios del flujo de trabajo antes de confirmar.
Para obtener más información, vea «Personalización de la configuración avanzada para el examen de código» y «Análisis de código de CodeQL para lenguajes compilados».
-
Haz clic en Confirmar cambios... para mostrar el formulario de confirmación de cambios.
-
En el campo de mensaje de confirmación, escribe un mensaje de confirmación.
-
Elija si quiere confirmar directamente en la rama predeterminada o crear una rama e iniciar una solicitud de incorporación de cambios.
-
Haz clic en Confirmar nuevo archivo para confirmar el archivo de flujo de trabajo en la rama predeterminada o haz clic en Proponer nuevo archivo para confirmar el archivo en una nueva rama.
-
Si has creado una nueva rama, haz clic en Crear solicitud de cambios y abre una solicitud de cambios para combinar el cambio en la rama predeterminada.
En el Flujo de trabajo de análisis de CodeQL sugerido, el code scanning se configura para analizar tu código cada vez que envíes un cambio a la rama predeterminada o a cualquier rama protegida, o que emitas una solicitud de incorporación cambios contra la rama predeterminada. Como resultado, el code scanning comenzarà ahora.
Los valores on:pull_request y on:push que se desencadenan para el examen de código son útiles para distintos propósitos. Consulte “Personalización de la configuración avanzada para el examen de código” y “Activar un flujo de trabajo”.
Para obtener información sobre la habilitación masiva, vea "Establecimiento de la configuración avanzada para el examen de código con CodeQL a gran escala".
Pasos siguientes
Después de que el flujo de trabajo se haya ejecutado correctamente al menos una vez, está listo para empezar a examinar y resolver alertas de code scanning. Para obtener más información sobre las alertas del code scanning, consulta "Acerca de las alertas de análisis de código" y "Evaluación de alertas de análisis de código para el repositorio".
Para obtener información sobre cómo se comportan las ejecuciones de code scanning como comprobaciones en las solicitudes de incorporación de cambios, consulte "Clasificar las alertas del escaneo de código en las solicitudes de cambios".
Puedes encontrar información detallada sobre la configuración del code scanning, incluidas las marcas de tiempo de cada examen y el porcentaje de archivos escaneados, en la página de estado de la herramienta. Para obtener más información, vea «Acerca de la página de estado de la herramienta para el examen de código».