About CodeQL code scanning in your CI system
Code scanning は、開発者が GitHub リポジトリ内のコードを分析して、セキュリティの脆弱性とコーディングエラーを見つけることができる機能です。 分析によって特定されたすべての問題はGitHub AEに表示されます。 For information, see "About code scanning with CodeQL."
CodeQL code scanningをGitHub AE内で、GitHub Actionsを使って実行できます。 あるいは、サードーパーティの継続的インテグレーションあるいは継続的デリバリ/デプロイメント（CI/CD）システムを使っているなら、CodeQLの分析を既存のシステム上で実行し、その結果をyour enterpriseにアップロードできます。
CodeQL CLIをサードパーティのシステムに追加して、コードを分析するツールを呼び、SARIFの結果をGitHub AEにアップロードしてください。 結果のcode scanningアラートは、GitHub AE内で生成されたアラートとともに表示されます。 詳細については、「CI システムでの CodeQL コード スキャンについて」を参照してください。
注: GitHub AE の結果の code scanning として表示する SARIF データをアップロードすることは、GitHub Advanced Security が有効にされた組織が所有するリポジトリ。 詳細については、「リポジトリのセキュリティと分析の設定を管理する」を参照してください。
About the CodeQL CLI
CodeQL CLIは、コードの分析に利用できるスタンドアローンの製品です。 その主な目的は、コードベースのデータベース表現であるCodeQLデータベースを生成することです。 データベースの準備ができれば、それに対してインタラクティブにクエリを実行したり、SARIFフォーマットで結果セットを生成するためのクエリのスイートを実行して、結果をyour enterpriseにアップロードしたりできます。
Use the CodeQL CLI to analyze:
- Dynamic languages, for example, JavaScript and Python.
- Compiled languages, for example, C/C++, C# and Java.
- Codebases written in a mixture of languages.
For more information, see "Installing CodeQL CLI in your CI system."
メモ:
-
CodeQL CLI は、Advanced Security のライセンスを持つ顧客が使うことができます。
-
CodeQL CLI は現在、glibc 以外の Linux ディストリビューション ((musl ベースの) Alpine Linux など) との互換性がありません。