Сведения о CodeQL code scanning в системе CI
Code scanning — это функция, используемая для анализа кода в репозитории GitHub для поиска уязвимостей системы безопасности и ошибок кодирования. Все проблемы, обнаруженные в результате анализа, отображаются в GitHub Enterprise Cloud. Дополнительные сведения см. в разделе О проверке кода с помощью CodeQL.
Можно запустить CodeQL code scanning в GitHub Enterprise Cloud с помощью GitHub Actions. Кроме того, если вы используете стороннюю систему непрерывной интеграции или непрерывной поставки и развертывания (CI/CD), можно выполнить анализ CodeQL в существующей системе и отправить результаты в GitHub.com.
Вы добавляете CodeQL CLI в свою стороннюю систему, а затем вызываете средство для анализа кода и отправляете SARIF-файл с результатами в GitHub Enterprise Cloud. Полученные оповещения code scanning отображаются вместе с любыми другими оповещениями, которые создаются в GitHub Enterprise Cloud.
При выполнении проверки кода с использованием нескольких конфигураций одно и то же оповещение иногда создается несколькими конфигурациями. Если оповещение поступает из нескольких конфигураций, состояние оповещения для каждой конфигурации можно просмотреть на странице оповещения. Дополнительные сведения см. в разделе О предупреждениях о сканировании кода.
Примечание. Передача данных SARIF для отображения как code scanning приводит к тому, что GitHub Enterprise Cloud поддерживается для репозиториев, принадлежащих организации, с включенными GitHub Advanced Security и для общедоступных репозиториев на GitHub.com. Дополнительные сведения см. в разделе Управление параметрами безопасности и анализа для репозитория.
Сведения о CodeQL CLI
CodeQL CLI является отдельным продуктом, который можно использовать для анализа кода. Его основная задача — создание представления базы данных для базы кода, базы данных CodeQL. Когда база данных будет готова, вы можете отправить к ней запрос в интерактивном режиме или выполнить набор запросов, чтобы создать набор результатов в формате SARIF и отправить результаты в GitHub.com.
Используйте CodeQL CLI для анализа следующих параметров:
- Динамические языки, например JavaScript и Python.
- Скомпилированные языки, например C/C++, C#, Go, и Java.
- Базы кода написаны на нескольких языках.
Дополнительные сведения см. в разделе Установка CodeQL CLI в системе CI.
Примечания.
- CodeQL CLI можно бесплатно использовать в общедоступных репозиториях, которые хранятся на GitHub.com и доступны для использования в частных репозиториях, принадлежащих клиентам с лицензией Advanced Security. Дополнительные сведения см. в разделах Условия GitHub Enterprise Cloud CodeQL и Интерфейс командной строки CodeQL.
- В настоящее время CodeQL CLI несовместим с дистрибутивами Linux не на основе glibc, такими как Alpine Linux (на основе musl).