Skip to main content

Сведения о проверке кода CodeQL в системе CI

Вы можете проанализировать код с помощью CodeQL в сторонней системе непрерывной интеграции и отправить результаты в your GitHub Enterprise Server instance. Полученные оповещения code scanning отображаются вместе с любыми другими оповещениями, которые создаются в GitHub Enterprise Server.

Code scanning доступно в репозиториях, принадлежащих организациям, в GitHub Enterprise Server. Для этой функции требуется лицензия на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

Примечание: Администратор сайта должен включить code scanning для your GitHub Enterprise Server instance, прежде чем вы сможете использовать эту функцию. Дополнительные сведения см. в разделе Настройка code scanning для устройства.

Сведения о CodeQL code scanning в системе CI

Code scanning — это функция, применяемая для анализа кода в репозитории GitHub на предмет уязвимостей системы безопасности и ошибок кодирования. Все проблемы, обнаруженные в результате анализа, отображаются в GitHub Enterprise Server. Дополнительные сведения см. в статье Сведения о code scanning с CodeQL.

Можно запустить CodeQL code scanning в GitHub Enterprise Server с помощью GitHub Actions. Кроме того, если вы используете стороннюю систему непрерывной интеграции или непрерывной поставки и развертывания (CI/CD), вы можете выполнить анализ CodeQL в существующей системе и отправить результаты в your GitHub Enterprise Server instance.

Вы добавляете CodeQL CLI в свою стороннюю систему, а затем вызываете средство для анализа кода и отправляете SARIF-файл с результатами в GitHub Enterprise Server. Полученные оповещения code scanning отображаются вместе с любыми другими оповещениями, которые создаются в GitHub Enterprise Server. Дополнительные сведения см. в разделе Сведения о проверке кода CodeQL в системе CI.

При сканировании кода с использованием нескольких конфигураций можно получить оповещение с несколькими источниками анализа. Если оповещение имеет несколько источников анализа, состояние оповещения для каждого источника анализа можно посмотреть на странице оповещения. Дополнительные сведения см. в разделе Сведения об источниках анализа.

Примечание. Передача данных SARIF для отображения как code scanning приводит к тому, что GitHub Enterprise Server поддерживается для репозиториев, принадлежащих организации, с включенными GitHub Advanced Security . Дополнительные сведения см. в статье Управление параметрами безопасности и анализа для репозитория.

Сведения о CodeQL CLI

CodeQL CLI является отдельным продуктом, который можно использовать для анализа кода. Его основная задача — создание представления базы данных для базы кода, базы данных CodeQL. Когда база данных будет готова, вы можете отправить к ней запрос в интерактивном режиме или выполнить набор запросов, чтобы создать набор результатов в формате SARIF и отправить результаты в your GitHub Enterprise Server instance.

Используйте CodeQL CLI для анализа следующих параметров:

  • Динамические языки, например JavaScript и Python.
  • Скомпилированные языки, например C/C++, C#, и Java.
  • Базы кода написаны на нескольких языках.

Дополнительные сведения см. в статье Установка CodeQL CLI в системе CI.

Примечания.

  • CodeQL CLI доступно клиентам с лицензией Advanced Security.

  • В настоящее время CodeQL CLI несовместим с дистрибутивами Linux не на основе glibc, такими как Alpine Linux (на основе musl).