Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais recentes, acesse a documentação em inglês. Se houver problemas com a tradução desta página, entre em contato conosco.

Fazer o upload de arquivo SARIF para o GitHub

Você pode carregar arquivos SARIF de ferramentas de análise estáticas de terceiros para o GitHub e ver Varredura de código alertas dessas ferramentas no seu repositório.

As pessoas com permissões de gravação em um repositório podem fazer upload de dados Varredura de código de uma ferramenta de terceiros.

Neste artigo

Nota: Varredura de código está atualmente em versão beta e sujeito a alterações. Para solicitar acesso ao beta, join the waitlist.

Sobre os uploads de arquivos SARIF para Varredura de código

Para fazer o upload dos resultados das ferramentas de terceiros, você deve usar o formato Intercâmbio de Resultados de Análise Estática (SARIF) 2.1.0. Para obter mais informações, consulte "Sobre o suporte do SARIF para a varredura de código".

GitHub exibirá alertas de Varredura de código do arquivo SARIF carregado em seu repositório. Para obter mais informações, consulte "Gerenciando alertas do Varredura de código."

Para ver os resultados de um arquivo SARIF de terceiros, você deve fazer o upload do arquivo SARIF para GitHub usando um fluxo de trabalho de GitHub Actions. O arquivo SARIF pode ser gerado a partir de uma ferramenta de análise compatível com o SARIF, que você executa no mesmo fluxo de trabalho de GitHub Actions usado para fazer o upload do arquivo. Como alternativa, quando o arquivo é gerado como um artefato fora do seu repositório, Você pode fazer push do arquivo SARIF diretamente em um repositório e usar o workflow para fazer o upload do arquivo SARIF.

Fazer o upload uma análise de Varredura de código com GitHub Actions

Para fazer o upload de um arquivo SARIF de terceiros para GitHub, você precisará de um fluxo de trabalho de GitHub Actions. Para obter mais informações, consulte "Sobre o GitHub Actions" e "Configurar um fluxo de trabalho".

O seu fluxo de trabalho precisará usar a ação upload-sarif, que tem parâmetros de entrada que você pode usar para configurar o upload. O parâmetro de entrada principal que você usará é sarif-file, que configura o arquivo ou diretório dos arquivos SARIF a serem carregados. O diretório ou caminho do arquivo é relativo à raiz do repositório. Para mais informações, consulte a ação upload-sarif.

A ação upload-sarif pode ser configurada para ser executada quando ocorrem o evento push e agendado. Para obter mais informações sobre eventos do GitHub Actions, consulte "Eventos que acionam fluxos de trabalho".

Se o seu arquivo SARIF não incluir partialFingerprints, a ação upload-sarif calculará o campo parcialFingerprints para você e tentará evitar alertas duplicados. O GitHub só pode criar partialFingerprints quando o repositório contiver o arquivo SARIF e o código-fonte usado na análise estática. Para obter mais informações sobre a prevenção de alertas duplicados, consulte "Sobre o suporte SARIF para a varredura de código".

Exemplo de fluxo de trabalho para arquivos SARIF gerados fora de um repositório

Você pode criar um novo fluxo de trabalho que faz o upload de arquivos SARIF após fazer o commit deles no seu repositório. Isso é útil quando o arquivo SARIF é gerado como um artefato fora do seu repositório.

Este exemplo de fluxo de trabalho é executado sempre que os commits são carregados no repositório. A ação usa a propriedade partialFingerprints para determinar se houve alterações. Além de executar quando os commits são carregados, o fluxo de trabalho está programado para ser executado uma vez por semana. Para obter mais informações, consulte "Eventos que acionam fluxos de trabalho".

Este fluxo de trabalho faz o upload do arquivo results.sarif localizado na raiz do repositório. Para obter mais informações sobre a criação de um arquivo de fluxo de trabalho, consulte "Configurar um fluxo de trabalho".

Como alternativa, você pode modificar este fluxo de trabalho para fazer upload de um diretório de arquivos SARIF. Por exemplo, você pode colocar todos os arquivos SARIF em um diretório na raiz do seu repositório denominado sarif-output e definir o parâmetro de entrada da ação sarif_file como sarif-output.

name: "Upload SARIF"

# Run workflow each time code is pushed to your repository and on a schedule.
# The scheduled workflow runs every at 00:00 on Sunday UTC time.
on:
  push:
  schedule:
  - cron: '0 0 * * 0'

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
    # This step checks out a copy of your repository.
    - name: Checkout repository
      uses: actions/checkout@v2
    - name: Upload SARIF file
      uses: github/codeql-action/upload-sarif@v1
      with:
        # Path to SARIF file relative to the root of the repository
        sarif_file: results.sarif

Exemplo de fluxo de trabalho que executa a ferramenta de análise ESLint

Se você gerar seu arquivo SARIF de terceiros como parte de um fluxo de trabalho de integração contínua (CI), você poderá adicionar a ação upload-sarif como um passo depois de executar seus testes de CI. Se você ainda não tiver um fluxo de trabalho de CI, você poderá criar um usando um modelo de GitHub Actions. Para obter mais informações, consulte "Iniciando com modelos de fluxo de trabalho pré-configurados".

Este exemplo de fluxo de trabalho é executado sempre que os commits são carregados no repositório. A ação usa a propriedade partialFingerprints para determinar se houve alterações. Além de executar quando os commits são carregados, o fluxo de trabalho está programado para ser executado uma vez por semana. Para obter mais informações, consulte "Eventos que acionam fluxos de trabalho".

O fluxo de trabalho mostra um exemplo de execução da ferramenta de análise estática ESLint como uma etapa de um fluxo de trabalho. A etapa Executar ESLint executa a ferramenta ESLint e produz o arquivo results.sarif. Em seguida, o fluxo de trabalho faz o upload do arquivo results.sarif para GitHub usando a ação upload-sarif. Para obter mais informações sobre a criação de um arquivo de fluxo de trabalho, consulte "Configurar um fluxo de trabalho".

name: "ESLint analysis"

# Run workflow each time code is pushed to your repository and on a schedule.
# The scheduled workflow runs every at 00:00 on Sunday UTC time.
on:
  push:
  schedule:
  - cron: '0 0 * * 0'

jobs:
  build:
    steps:
    - uses: actions/checkout@v2
    - name: Run npm install
      run: npm install
    # Runs the ESlint code analysis
    - name: Run ESLint
      # eslint exits 1 if it finds anything to report
      run: node_modules/.bin/eslint build docs lib script spec-main -f node_modules/@microsoft/eslint-formatter-sarif/sarif.js -o results.sarif || true
    # Uploads results.sarif to GitHub repository using the upload-sarif action
    - uses: github/codeql-action/upload-sarif@v1
      with:
        # Path to SARIF file relative to the root of the repository
        sarif_file: results.sarif

Leia mais

Pergunte a uma pessoa

Não consegue encontrar o que procura?

Entrar em contato