code scanningの使用を初めて開始するときは、既定のセットアップを使用する可能性があります。 このガイドでは、 code scanning の既定のセットアップがどのように機能しているかを評価する方法と、想定どおりに動作しない場合に実行する手順について説明します。 このガイドでは、新しい構成に適合しない特定のユース ケースがある場合に code scanning をカスタマイズする方法についても説明します。
カスタマイズ code scanning
既定のセットアップを初めて構成するとき、またはコードの初期分析後に、既定のセットアップで分析する言語と、分析中に実行するクエリ スイートを編集できます。
default クエリ スイートには、誤検知の結果を最小限に抑えながら、最も関連性の高いセキュリティの issue を探すために慎重に設計された一連のクエリが含まれています。 ただし、security-extended スイートを使用して追加のクエリを実行できます。このクエリの精度は若干低くなります。 使用可能なクエリ スイートの詳細については、「CodeQL クエリ セット」を参照してください。
既定のセットアップのカスタマイズについては、「既定設定の構成を編集する」を参照してください。
高度なセットアップの使用
code scanningをより細かく制御する必要があることがわかった場合は、詳細設定を使用できます。 高度なセットアップでは、構成、カスタマイズ、および保守に非常に多くの労力が必要となるため、最初に既定のセットアップを有効にすることをおすすめします。 詳細設定の詳細については、「コード スキャンの詳細設定を構成する」と「コード スキャンのワークフロー構成オプション」を参照してください。
code scanning を ツールの状態ページ を使って評価する
ツールの状態ページには、すべてのcode scanning ツールに関する有用な情報が表示されます。 これを使用して、個々のツールがリポジトリで動作しているかどうか、リポジトリ内のファイルが最初に、また最後にスキャンされたのはいつか、および今後のスキャンがいつスケジュールされているかを調査できます。 問題をデバッグするための出発点としても有用です。
ツールの状態ページを使用すると、チェック対象のルールの一覧code scanning CSV 形式でダウンロードできます。 CodeQLなどの統合ツールの場合は、スキャンされたファイルの割合や特定のエラー メッセージなど、より詳細な情報を表示することもできます。
既定のセットアップですべてのファイルがスキャンされない場合は、 code scanningをカスタマイズする必要があります。 詳細については、この記事の「コード スキャンのカスタマイズ」を参照してください。 他の方法として、また他の機能が期待どおりに動作しない場合には、専用のトラブルシューティング ドキュメントが役立つ場合があります。 詳細については、「コード スキャン分析エラーのトラブルシューティング」を参照してください。
ツールの状態ページの詳細については、「コード スキャンにツールの状態ページを使用する」を参照してください。