Observação: o administrador do site precisa habilitar o code scanning para o sua instância do GitHub Enterprise Server a fim de que seja possível usar esse recurso. Para obter mais informações, confira "Configurar a varredura de código para o seu aparelho".
Sobre CodeQL code scanning no seu sistema de CI
A Code scanning é um recurso que você usa para analisar o código em um repositório GitHub para encontrar vulnerabilidades de segurança e erros de codificação. Quaisquer problemas identificados pela análise são exibidos em GitHub Enterprise Server. Para obter mais informações, confira "Sobre a varredura de código com CodeQL".
Você pode executar CodeQL code scanning em GitHub Enterprise Server usando GitHub Actions. Como alternativa, se você usar um sistema de integração contínua ou um sistema de CI/CD (implantação/entrega contínua) de terceiros, será possível executar a análise do CodeQL no sistema existente e enviar os resultados ao sua instância do GitHub Enterprise Server.
Se você adicionar a CodeQL CLI ao seu sistema de terceiros, chame a ferramenta para analisar o código e carregar os resultados em SARIF no GitHub Enterprise Server. Os alertas de code scanning resultantes são exibidos junto com todos os alertas gerados dentro de GitHub Enterprise Server.
Se você executar a verificação de código usando várias configurações, às vezes, um alerta terá várias origens de análise. Se um alerta tiver várias origens de análise, você poderá ver o status do alerta para cada origem de análise na página de alertas. Para obter mais informações, confira "Sobre alertas de digitalização de códigos".
Observação: há suporte para o upload de dados SARIF a serem exibidos como resultados da code scanning no GitHub Enterprise Server nos repositórios pertencentes à organização com o GitHub Advanced Security habilitado. Para obter mais informações, confira "Gerenciando as configurações de segurança e análise do repositório".
Sobre a CodeQL CLI
O CodeQL CLI é um produto inependente que você pode usar para analisar o código. Seu principal propósito é gerar uma representação do banco de dados de uma base de código, um banco de dados de CodeQL. Assim que o banco de dados estiver pronto, será possível consultá-lo interativamente ou executar um conjunto de consultas a fim de gerar um conjunto de resultados no formato SARIF e enviá-los ao sua instância do GitHub Enterprise Server.
Use CodeQL CLI para analisar:
- Linguagens dinâmicas, por exemplo, JavaScript e Python.
- Linguagens compiladas, por exemplo, C/C++, C#, e Java.
- Bases de código em uma mistura de linguagens.
Para obter mais informações, confira "Instalando CodeQL CLI no seu sistema de CI".
Observações:
-
O CodeQL CLI está disponível para clientes com uma licença de Advanced Security.
-
Atualmente, o CodeQL CLI não é compatível com distribuições Linux não glibc, como o Alpine Linux (baseado em musl).