Code scanningと統合する

データを SARIF ファイルとしてアップロードすることで、サードパーティーのコード解析ツールをGitHub code scanning と統合できます。

この機能を使用できるユーザーについて

GitHub Advanced Security が有効になっている組織所有のリポジトリ

Code scanningとのインテグレーションについて

code scanning を外部で実行し、その結果を GitHub で表示できます。または、リポジトリで code scanning アクティビティをリッスンする Webhook を構成することもできます。

既存の CI システムでコードスキャンを使用する

CodeQL CLI またはサードパーティの継続的インテグレーションシステムの別のツールを使用してコードを分析し、結果を GitHub にアップロードできます。結果の code scanning アラートは、GitHub 内で生成されたアラートとともに表示されます。

SARIF ファイルを GitHub にアップロードする

サードパーティの静的解析ツールからGitHubにSARIFファイルをアップロードし、リポジトリ内でそれらのツールからのcode scanningアラートを見ることができます。

Code scanningの SARIF サポート

GitHub のリポジトリにあるサードパーティの静的分析ツールからの結果を表示するには、code scanning 用に SARIF 2.1.0 JSON スキーマの特定のサブセットをサポートする SARIF ファイルに結果を保存する必要があります。デフォルトの CodeQL 静的分析エンジンを使用すると、結果は GitHub のリポジトリに自動的に表示されます。