Сводка

  • 5 мин

В этом модуле мы научились:

  • Сканирование кода с помощью CodeQL можно настроить с помощью файла расширенной настройки рабочего процесса, который указывает расположение запросов, языки для анализа и следует ли их собирать с помощью автосборки или вручную.
  • GitHub поддерживает интеграцию сторонних средств сканирования и оповещений в процессе сканирования кода.
  • CodeQL имеет интерфейс командной строки, позволяющий создавать и анализировать базы данных в автономном режиме, а затем отправлять результаты в GitHub с помощью ФАЙЛА SARIF.

Без использования сканирования кода на GitHub с помощью CodeQL было бы трудно автоматизировать как сканирование кода, так и создание pull-запросов для исправления уязвимого кода. Кроме того, CodeQL предоставляет обширную и растущую библиотеку запросов на нескольких языках, которая позволяет создавать более защищенный код с минимальными усилиями по проектированию.

Ссылки

  1. Публикация и использование пакетов CodeQL
  2. Использование сканирования кода с существующей системой CI
  3. jhutchings1/Create-ActionsPRs
  4. nickliffen/ghas-enablement
  5. Создание наборов запросов CodeQL
  6. Проверка ФАЙЛОВ SARIF
  7. Поддерживаемые языки CodeQL

Предоставьте отзыв

Используйте эту форму проблемы для предоставления отзывов о содержимом или предлагаемых изменений для этого модуля Microsoft Learn. GitHub поддерживает это содержимое, и член команды выполнит запрос. Спасибо за то, что улучшайте наше содержимое!