快速入门：创建安全扫描 GitHub 工作流

项目
05/09/2023

本快速入门介绍如何创建 CodeQL GitHub 工作流，以自动发现 .NET 代码库中的漏洞。

在 CodeQL 中，代码被视为数据。安全漏洞、bug 和其他错误建模为可针对从代码中提取的数据库执行的查询。

GitHub CodeQL：关于

先决条件

一个 GitHub 帐户。
.NET 源代码存储库。

创建工作流文件

在 GitHub 存储库中，将新的 YAML 文件添加到 .github/workflows 目录。选择一个有意义的文件名，这将清楚地指示工作流要执行的操作。有关详细信息，请参阅工作流文件。

重要

GitHub 要求将工作流组合文件放置在 .github/workflows 目录中。

工作流文件通常通过 jobs.<job_id>/steps[*] 定义一个或多个 GitHub Action 的组合。有关详细信息，请参阅 GitHub Actions 的工作流语法。

创建名为 codeql-analysis.yml 的新文件，将以下 YML 内容复制并粘贴到该文件：

name: "CodeQL"

on:
  push:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  pull_request:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  schedule:
    - cron: '0 8 * * 4'

jobs:
  analyze:

    name: analyze
    runs-on: ubuntu-latest

    strategy:
      fail-fast: false
      matrix:
        language: ['csharp']

    steps:
    - name: Checkout repository
      uses: actions/checkout@v3
      with:
        fetch-depth: 2

    - run: git checkout HEAD^2
      if: ${{ github.event_name == 'pull_request' }}

    - name: Initialize CodeQL
      uses: github/codeql-action/init@v1
      with:
        languages: ${{ matrix.language }}

    - name: Autobuild
      uses: github/codeql-action/autobuild@v1

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v1

在前面的工作流组合中：

name: CodeQL 定义名称，“CodeQL”将显示在工作流状态徽章中。
```
name: "CodeQL"
```
on 节点表示触发工作流的事件：
```
on:
  push:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  pull_request:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  schedule:
    - cron: '0 8 * * 4'
```
- 当 main 分支上发生 push 或 pull_request 时触发，其中任何更改的文件都以 .cs 或 .csproj 文件扩展名结尾。
- 作为 cron 作业（按计划）- 在每周四 8:00（UTC 时间）运行。

jobs 节点会生成工作流要执行的步骤。

jobs:
  analyze:

    name: analyze
    runs-on: ubuntu-latest

    strategy:
      fail-fast: false
      matrix:
        language: ['csharp']

    steps:
    - name: Checkout repository
      uses: actions/checkout@v3
      with:
        fetch-depth: 2

    - run: git checkout HEAD^2
      if: ${{ github.event_name == 'pull_request' }}

    - name: Initialize CodeQL
      uses: github/codeql-action/init@v1
      with:
        languages: ${{ matrix.language }}

    - name: Autobuild
      uses: github/codeql-action/autobuild@v1

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v1