まとめ

  • 5 分

このモジュールでは、次の内容を学習しました。

  • CodeQL を使用したコード スキャンは、高度なセットアップ ワークフロー ファイルを使用してカスタマイズできます。このファイルでは、クエリの場所、分析する言語、自動ビルドまたは手動のビルド手順のどちらを使用してビルドするかを指定できます。
  • GitHub では、コード スキャン プロセスにサードパーティ製のスキャン ツールとアラート ツールを統合できます。
  • CodeQL には、データベースを作成してオフラインで分析し、SARIF ファイルを利用して結果を GitHub にアップロードできる CLI があります。

CodeQL で GitHub コード スキャンを使用しないと、コードのスキャンと、脆弱なコードを修正するためのプル要求の生成の両方を自動化することは困難になります。 また、CodeQL では、増え続ける膨大なクエリ ライブラリが複数の言語で提供されます。少ないエンジニアリング労力で安全なコードをたくさん作成できます。

関連情報

  1. CodeQL パックを発行して使用する
  2. 既存の CI システムでコード スキャンを使用する
  3. jhutchings1/Create-ActionsPRs
  4. nickliffen/ghas-enablement
  5. CodeQL クエリ スイートの作成
  6. SARIF ファイルの検証
  7. サポートされている CodeQL 言語

フィードバックを提供する

この 問題フォーム を使用して、この Microsoft Learn モジュールのコンテンツ フィードバックまたは推奨される変更を提供します。 GitHub はこのコンテンツを保持し、チーム メンバーが要求をトリアージします。 コンテンツ改善のために時間をお取りいただきありがとうございます。