Запросы go для анализа CodeQL

Изучите запросы, которые CodeQL используются для анализа кода, написанного в Go (Golang) при выборе default security-extended или наборе запросов.

Кто может использовать эту функцию?

Code scanning доступен для репозиториев, принадлежащих организации, в GitHub Enterprise Server. Для этой функции требуется лицензия на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

CodeQL содержит множество запросов для анализа кода Go. Все запросы в наборе default запросов выполняются по умолчанию. Если вы решили использовать security-extended набор запросов, выполняются дополнительные запросы. Дополнительные сведения см. в разделе Наборы запросов CodeQL.

Встроенные запросы для анализа Go

В этой таблице перечислены запросы, доступные в последнем выпуске действия CodeQL и CodeQL CLI. Дополнительные сведения см. в разделе CodeQL журналов изменений на сайте документации CodeQL документации.

Примечание. Первоначальный выпуск GitHub Enterprise Server 3.13 включал действие CodeQL и CodeQL CLI 2.16.5, которые могут не включать все эти запросы. Администратор сайта может обновить версию CodeQL до более новой версии. Дополнительные сведения см. в разделе Настройка сканирования кода для устройства.

Имя запросаСвязанные CWEsПо умолчанию.РасширенноеАвтофикс
Произвольный доступ к файлам во время извлечения архива (Zip Slip)022
Произвольное запись файла, извлекающее архив, содержащий символьные ссылки022
Проверка неправильного перенаправления601
Ведение журнала конфиденциальной информации с четким текстом312, 315, 359
Команда, созданная из управляемых пользователем источников078
Запрос базы данных, созданный из управляемых пользователем источников089
Отключенная проверка сертификата TLS295
Внедрение содержимого электронной почты640
Неполное регулярное выражение для имен узлов20
Неполная проверка схемы URL-адресов020
Неправильное преобразование между целыми типами190, 681
Раскрытие информации с помощью трассировки стека209, 497
Небезопасная конфигурация TLS327
Отсутствует проверка подписи JWT347
Отсутствует привязка регулярного выражения20
Открытие перенаправления URL-адресов601
Потенциально небезопасный кавык078, 089, 094
Отражение межстранитовых сценариев079, 116
Вычисление размера для выделения может переполнение190
Выделение памяти с чрезмерным размером770
Подозрительные символы в регулярном выражении20
Неконтролируемые данные, используемые в сетевом запросе918
Неконтролируемые данные, используемые в выражении пути022, 023, 036, 073, 099
Использование слабого криптографического ключа326
Использование константного state значения в URL-адресе OAuth 2.0352
Использование небезопасной реализации HostKeyCallback322
Использование недостаточной случайности в качестве ключа криптографического алгоритма338
Внедрение XPath643
Жестко закодированные учетные данные259, 321, 798
Записи журнала, созданные из ввода пользователем117