Nota: El administrador del sitio debe habilitar code scanning para your GitHub Enterprise Server instance antes de que pueda utilizar esta característica. Si quieres utilizar GitHub Actions para escanear tu código, el administrador de sitio también puede habilitar las GitHub Actions y configurar la infraestructura que se requiera. Para más información, vea "Configuración de code scanning para el dispositivo".
Acerca de tu configuración del code scanning
Puedes utilizar diversas herramientas para configurar el code scanning en tu repositorio. Para obtener más información, vea "Configurar code scanning para un repositorio".
La bitácora y la información diagnóstica que tengas disponible dependerá del método que utilices para el code scanning en tu repositorio. Puede comprobar el tipo de code scanning que usa en la pestaña Security (Seguridad) del repositorio mediante el menú desplegable Tool (Herramienta) de la lista de alertas. Para obtener más información, vea "Administrar alertas de code scanning para el repositorio".
Acerca del análisis y la información de diagnóstico
Puedes ver la información de análisis y diagnóstico para la jecución del code scanning utilizando el análisis de CodeQL en GitHub.
La información de Analysis (Análisis) se muestra para los análisis más recientes en un encabezado en la parte superior de la lista de alertas. Para obtener más información, vea "Administrar alertas de análisis de código para el repositorio".
La información de Diagnostic (Diagnóstico) aparece en los registros del flujo de trabajo de la acción, que consta de métricas de resumen y diagnósticos de extractor. Para obtener más información sobre cómo acceder a los registros de code scanning en GitHub, vea "Visualizar la salida de registros de code scanning" debajo.
Si estás utilizando el CodeQL CLI fuera de GitHub, verás la información de diagnóstico en la salida que se generó durante el análisis de la base de datos. Esta información también se incluye en el archivo de resultados SARIF que cargaste en GitHub con los resultados del code scanning.
Para obtener información sobre la CodeQL CLI, vea "Configurar la CodeQL CLI en el sistema de CI".
Acerca de las métricas de resumen
Las métricas de resumen incluyen:
- Las líneas de código en la base de código (que se utilizan como línea base), antes de la creación y extracción de la base de datos de CodeQL
- Las líneas de código en la base de datos de CodeQL que se extrajeron del código, incluyendo las bibliotecas externas y los archivos autogenerados
- Las líneas de código en la base de datos de CodeQL, excluyendo los archivos autogenerados y las bibliotecas externas
Acerca del diagnóstico de extración del código fuente de CodeQL
El diagnóstico de extractor solo cubre los archivos que se vieron durante el análisis, las métricas incluyen:
- Cantidad de archivos que se analizaron con éxito
- Cantidad de archivos que generaron errores de extractor durante la creación de la base de datos
- Cantidad de archivos que generaron alertas del extractor durante la creación de la base de datos
Visualizar la salida de registro del code scanning
Esta sección aplica a la ejecución del code scanning utilizando GitHub Actions(de CodeQL o de terceros).
Después de configurar el code scanning para tu repositorio, puedes observar la salida de las acciones mientras se ejecutan.
-
En el nombre del repositorio, haga clic en Acciones.
Ver� s una lista que incluye una entrada para ejecutar el flujo de trabajo del code scanning. El texto de la entrada es el título que le diste a tu mensaje de confirmación.
-
Da clic en la entrada para el flujo de trabajo de code scanning.
-
Da clic en el nombre del job situado a la izquierda. Por ejemplo, Analizar (LENGUAJE) .
-
Revisa la salida de registro de las acciones en este flujo de trabajo conforme se ejecutan.
-
Una vez que todos los jobs se completen, puedes ver los detalles de cualquier alerta del code scanning que se hayan identificado. Para más información, vea "Administración de alertas de code scanning para el repositorio".
Nota: Si ha generado una solicitud de incorporación de cambios para agregar el flujo de trabajo de code scanning al repositorio, las alertas de esa solicitud de incorporación de cambios no se mostrarán directamente en la página de Code scanning hasta que se combine esta solicitud. Si se ha encontrado alguna alerta, puede verlas antes de que se combine la solicitud de incorporación de cambios si hace clic en el vínculo n� alertas encontradas en el banner de la página de Code scanning.
