关于代码扫描警报

注意：网站管理员必须为你的 GitHub Enterprise Server 实例启用 code scanning，然后你才能使用此功能。有关详细信息，请参阅“为设备配置代码扫描”。

如果企业所有者在企业级别设置了 GitHub Advanced Security (GHAS) 策略，则你可能无法启用或禁用 code scanning。有关详细信息，请参阅“强制实施企业的代码安全性和分析策略”。

关于 code scanning 中的警报

可以配置 code scanning，以使用默认 CodeQL 分析、第三方分析或多种类型的分析来检查存储库中的代码。分析完成后，生成的警报将并排显示在仓库的安全视图中。第三方工具或自定义查询的结果可能不包括您在 GitHub 的默认 CodeQL 分析所检测的警报中看到的所有属性。有关详细信息，请参阅“配置代码扫描”。

默认情况下， code scanning 定期在默认分支和拉取请求中分析您的代码。有关管理拉取请求上警报的信息，请参阅“鉴定拉取请求中的代码扫描警报”。

可以使用 GitHub 工具审核为响应code scanning警报而执行的操作。有关详细信息，请参阅“审核安全警报”。

关于警报详细信息

每个警报都会高亮显示代码的问题以及识别该问题的工具名称。你可以看到触发警报的代码行以及警报的属性，例如警报严重性、安全严重性和问题的性质。警报还会告知该问题第一次被引入的时间。对于由 CodeQL 分析确定的警报，您还会看到如何解决问题的信息。

警报页面上的状态和详细信息仅反映存储库默认分支上的警报状态，即使警报存在于其他分支中也是如此。可以在警报页右侧的“受影响的分支”部分查看非默认分支上的警报状态。如果默认分支中不存在警报，则警报的状态将显示为“在拉取请求中”或“在分支中”，并将变为灰色。

显示 code scanning 警报的元素的屏幕截图，包括左侧的警报标题和相关代码行以及右侧的严重性级别、受影响分支和弱点。如果使用 CodeQL 配置 code scanning，还可以在代码中发现数据流问题。数据流分析将查找代码中的潜在安全问题，例如：不安全地使用数据、将危险参数传递给函数以及泄漏敏感信息。

当 code scanning 报告数据流警报时，GitHub 将显示数据在代码中如何移动。 Code scanning 可用于识别泄露敏感信息的代码区域，以及可能成为恶意用户攻击切入点的代码区域。

关于严重性级别

警报严重性级别可能为 Error、Warning 或 Note。

如果将 code scanning 作为拉取请求检查启用，检测到严重性为 error 的任何结果时，检查都将失败。可以指定代码扫描警报的哪个严重性级别会导致检查失败。有关详细信息，请参阅“自定义代码扫描的高级设置”。

关于安全严重性级别

Code scanning 显示安全查询生成的警报的安全严重性级别。安全严重性级别可以是 Critical、High、Medium 或 Low。

为计算警报的安全严重性，我们将使用常见漏洞评分系统 (CVSS) 数据。 CVSS 是一个开放框架，用于传达软件漏洞的特征和严重性，通常由其他安全产品用来为警报评分。若要详细了解如何计算严重性级别，请参阅此博客文章。

默认情况下，安全严重性为 Critical 或 High 的任何 code scanning 结果都会导致检查失败。可以指定 code scanning 结果的哪个安全严重性级别会导致检查失败。有关详细信息，请参阅“自定义代码扫描的高级设置”。

关于分析源的警报

可以使用不同的工具和针对代码的不同语言或区域，在存储库上运行多个代码分析配置。 code scanning 的每个配置都是它生成的所有警报的分析源。例如，使用默认 CodeQL 分析和 GitHub Actions 生成的警报与外部生成并通过 code scanning API 上传的警报具有不同的分析源。

如果使用多个配置来分析文件，同一查询检测到的任何问题都将报告为具有多个分析源的警报。如果警报有多个分析源，在警报页面右侧的“受影响的分支”部分中，任何相关的分支旁都会出现一个图标。可以将鼠标悬停在图标上，以查看每个分析源的名称以及该分析源警报的状态。还可以在警报页面的时间线中查看每个分析源的警报出现时间的历史记录。如果警报只有一个分析源，则警报页上不会显示任何有关分析源的信息。

显示具有多个分析源的代码扫描警报的屏幕截图。