CodeQL を使用したコードスキャン

メモ

この機能を使用するには、サイト管理者が code scanning を有効にする必要があります。詳しくは、「アプライアンスのコードスキャンの構成」をご覧ください。

Enterprise の所有者が Enterprise レベルで code scanning ポリシーを設定している場合、GitHub Code Security を有効または無効にできない場合があります。詳しくは、「エンタープライズのコードセキュリティと分析のためのポリシーの適用」をご覧ください。

CodeQL は、セキュリティチェックを自動化するために GitHub が開発した、コード分析エンジンです。 CodeQL を使用してコードを分析し、結果を code scanning アラートとして表示することができます。

CodeQLにcode scanning分析を使用するには、主に次の 3 つの方法があります。

既定のセットアップを使用して、リポジトリ上のCodeQLのcode scanning分析をすばやく構成します。既定の設定では、分析する言語、実行するクエリスイート、スキャンをトリガーするイベントが自動的に選択されます。必要に応じて、実行するクエリスイートと分析する言語を手動で選択できます。 CodeQLを有効にすると、GitHub Actionsはワークフロー実行を実行してコードをスキャンします。詳細については、「コードスキャンの既定セットアップの構成」を参照してください。
高度なセットアップを使用して、 CodeQL ワークフローをリポジトリに追加します。これにより、 github/codeql-action を使用して CodeQL CLIを実行するカスタマイズ可能なワークフローファイルが生成されます。詳細については、「コードスキャンの詳細設定を構成する」を参照してください。
外部 CI システムで CodeQL CLI を直接実行し、結果を GitHubにアップロードします。詳細については、「既存の CI システムでコードスキャンを使用する」を参照してください。

メモ

GitHub Enterprise Server3.19では、CodeQL アクションは既定でバージョンCodeQL CLI2.22.4使用します。外部 CI システムで分析を実行する場合は、同じバージョンの CodeQL CLI を使用することをお勧めします。

code scanningアラートの詳細については、「コードスキャンのアラート」を参照してください。

CodeQL の概要

CodeQL は、コードをデータのように扱うプログラミング言語および関連ツールです。これは、コードの分析を容易にし、従来の静的アナライザーよりも信頼度の高いコード内の潜在的な脆弱性を見つけられるように、明示的に作成されました。

CodeQL はコンパイル済み言語と解釈言語の両方をサポートし、サポートされている言語で記述されたコードで脆弱性やエラーを見つけることができます。

CodeQL では、次の言語がサポートされています。

メモ

詳細については、CodeQL Web サイトのドキュメント「サポートされている言語とフレームワーク」を参照してください。

重要

CodeQL では、上記に記載されていない言語はサポート されていません 。これには、PHP、Scala などが含まれますが、これらに限定されません。サポートされていない言語で CodeQL を使用しようとすると、アラートが生成されず、分析が不完全になる可能性があります。

CodeQL クエリパックがGitHubContainer registryに発行されると、クエリとコンパイルキャッシュに必要なすべての推移的な依存関係がパッケージに含まれます。これにより、パフォーマンスが向上します。そして、パックまたは CLI の新しいバージョンにアップグレードするまでは、パックでクエリを実行するたびに確実に同じ結果が得られます。
CodeQL クエリパックは、複数の GitHub コンテナーレジストリからダウンロードできます。詳細については、「コードスキャンのワークフロー構成オプション」を参照してください。

詳細については、「CodeQL パックを使った分析のカスタマイズ」を参照してください。