About CodeQL code scanning in your CI system

You can analyze your code with CodeQL in a third-party continuous integration system and upload the results to GitHub. The resulting code scanning alerts are shown alongside any alerts generated within GitHub.

Code scanningは、Organizationが所有するGitHub Advanced Securityが有効化されたすべてのパブリック及びプライベートリポジトリで利用できます。 詳しい情報については、「GitHub Advanced Security について」を参照してください。

About CodeQL code scanning in your CI system

Code scanning は、開発者が GitHub リポジトリ内のコードを分析して、セキュリティの脆弱性とコーディングエラーを見つけることができる機能です。 分析によって特定されたすべての問題はGitHubに表示されます。詳細については、「code scanning について」を参照してください。

You can run CodeQL code scanning within GitHub using actions. Alternatively, if you use a third-party continuous integration or continuous delivery/deployment (CI/CD) system, you can run CodeQL analysis in your existing system and upload the results to GitHub.

You add the CodeQL CLI or the CodeQLランナー to your third-party system, then call the tool to analyze code and upload the SARIF results to GitHub. The resulting code scanning alerts are shown alongside any alerts generated within GitHub.

ノート: GitHubでcode scanningの結果として表示するためにSARIFデータをアップロードすることは、GitHub Advanced Securityが有効化されたOrganizationが所有するリポジトリとGitHub.com上のパブリックリポジトリでサポートされています。 詳しい情報については「リポジトリのセキュリティ及び分析の設定の管理」を参照してください。

Comparing CodeQL CLI and CodeQLランナー

CodeQL CLIは、コードの分析に利用できるスタンドアローンの製品です。 その主な目的は、コードベースのデータベース表現であるCodeQLデータベースを生成することです。 データベースの準備ができれば、それに対してインタラクティブにクエリを実行したり、SARIFフォーマットで結果セットを生成するためのクエリのスイートを実行して、結果をGitHubにアップロードしたりできます。

The CodeQLランナー is a command-line tool that uses the CodeQL CLI to analyze code and upload the results to GitHub. The tool mimics the analysis run natively within GitHub using actions. The runner is able to integrate with more complex build environments than the CLI, but this ability makes it more difficult and error-prone to set up. It is also more difficult to debug any problems. Generally, it is better to use the CodeQL CLI directly unless it doesn't support your use case.

Use the CodeQL CLI to analyze:

  • Dynamic languages, for example, JavaScript and Python.
  • Codebases with a compiled language that can be built with a single command or by running a single script.

詳しい情報については、「CodeQL CLI を CI システムで実行する」を参照してください。

If you need to set up the CI system to orchestrate compiler invocations as well as running CodeQL analysis, you must use the CodeQLランナー.

ノート: CodeQLランナーは現在ベータで、変更されることがあります。

詳しい情報については、「CodeQLランナー を CI システムで実行する」を参照してください。

このドキュメントは役立ちましたか?プライバシーポリシー

これらのドキュメントを素晴らしいものにするのを手伝ってください!

GitHubのすべてのドキュメントはオープンソースです。間違っていたり、はっきりしないところがありましたか?Pull Requestをお送りください。

コントリビューションを行う

OR, コントリビューションの方法を学んでください。

問題がまだ解決していませんか?

GitHubコミュニティで質問するサポートへの連絡