Skip to main content

CI 시스템에서 CodeQL 코드 검사 정보

타사 연속 통합 시스템에서 CodeQL로 코드를 분석하고 결과를 GitHub.com에 업로드할 수 있습니다. 결과 code scanning 경고는 GitHub Enterprise Cloud에서 생성된 경고와 함께 표시됩니다.

Code scanning는 GitHub.com의 모든 퍼블릭 리포지토리에 사용할 수 있습니다. 조직이 소유한 프라이빗 리포지토리에서 code scanning을 사용하려면 GitHub Advanced Security에 대한 라이선스가 있어야 합니다. 자세한 내용은 “GitHub Advanced Security 정보”를 참조하세요.

CI 시스템의 CodeQL code scanning 정보

Code scanning는 GitHub 리포지토리의 코드를 분석하여 보안 취약성 및 코딩 오류를 찾는 데 사용하는 기능입니다. 분석으로 식별된 모든 문제는 GitHub Enterprise Cloud에 표시됩니다. 자세한 내용은 "CodeQL이 포함된 code scanning 정보"를 참조하세요.

GitHub Actions를 사용하여 GitHub Enterprise Cloud 내에서 CodeQL code scanning을 실행할 수 있습니다. 또는 타사 CI/CD(지속적인 통합 또는 지속적인 업데이트/배포) 시스템을 사용하는 경우 기존 시스템에서 CodeQL 분석을 실행하고 결과를 GitHub.com에 업로드할 수 있습니다.

CodeQL CLI를 타사 시스템에 추가한 다음 도구를 호출하여 코드를 분석하고 SARIF 결과를 GitHub Enterprise Cloud에 업로드합니다. 결과 code scanning 경고는 GitHub Enterprise Cloud에서 생성된 경고와 함께 표시됩니다. 자세한 내용은 “CI 시스템의 CodeQL 코드 검사 정보”를 참조하세요.

여러 구성을 사용하여 코드 검사를 실행할 때 경고의 분석 원본이 여러 개 있는 경우가 가끔 있습니다. 경고에 여러 분석 원본이 있는 경우 경고 페이지에서 각 분석 원본에 대한 경고 상태를 볼 수 있습니다. 자세한 내용은 "분석 원본 정보"를 참조하세요.

참고: code scanning로 표시할 SARIF 데이터를 업로드하면 GitHub Enterprise Cloud가 GitHub Advanced Security를 사용하도록 설정된 조직 소유 리포지토리와 GitHub.com의 퍼블릭 리포지토리가 지원됩니다. 자세한 내용은 “리포지토리에 대한 보안 및 분석 설정 관리”를 참조하세요.

CodeQL CLI 정보

CodeQL CLI는 코드를 분석하는 데 사용할 수 있는 독립 실행형 제품입니다. 그 주요 목적은 코드베이스, 즉 CodeQL 데이터베이스의 데이터베이스 표현을 생성하는 것입니다. 데이터베이스가 준비되면 대화형으로 쿼리하거나 쿼리 제품군을 실행하여 SARIF 형식의 결과 집합을 생성하고 결과를 GitHub.com에 업로드할 수 있습니다.

CodeQL CLI를 사용하여 다음을 분석합니다.

  • 동적 언어(예: JavaScript 및 Python).
  • 컴파일된 언어(예: C/C++, C#, Go, 및 Java)
  • 여러 언어로 작성된 코드베이스.

자세한 내용은 “CI 시스템에서 CodeQL CLI 설치”를 참조하세요.

참고:

  • CodeQL CLI는 GitHub.com에서 유지 관리되는 퍼블릭 리포지토리에서 무료로 사용할 수 있으며 Advanced Security 라이선스가 있는 고객이 소유한 프라이빗 리포지토리에서 사용할 수 있습니다. 자세한 내용은 "GitHub Enterprise Cloud CodeQL 사용 약관" 및 "CodeQL CLI"를 참조하세요.
  • CodeQL CLI는 (musl 기반) Alpine Linux와 같은 비 glibc Linux 배포판과 현재 호환되지 않습니다.