Hinweis: Der Siteadministrator muss code scanning aktivieren, damit Sie dieses Feature verwenden können. Weitere Informationen findest du unter Konfigurieren der Codeüberprüfung für Ihre Anwendung.
Möglicherweise kannst du code scanning nicht aktivieren oder deaktivieren, wenn eine Unternehmensbesitzerin eine GitHub Advanced Security-Richtlinie (GHAS) auf Unternehmensebene festgelegt hat. Weitere Informationen findest du unter Erzwingen von Richtlinien für die Codesicherheit und -analyse für Unternehmen.
Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.
Mit der code scanning kannst du in deinem Code Probleme suchen, selektieren und deren Behandlung priorisieren. Code scanning verhindert auch, dass Entwickler*innen neue Probleme schaffen. Du kannst Überprüfungen für bestimmte Tage und Uhrzeiten planen oder Überprüfungen durchführen, wenn im Repository ein bestimmtes Ereignis auftritt, z. B. ein Push.
Wenn die code scanning ein mögliches Sicherheitsrisiko oder einen Fehler in deinem Code findet, zeigt GitHub eine Warnung im Repository an. Nachdem du den Code korrigiert hast, der die Meldung ausgelöst hat, schließt GitHub die Meldung. Weitere Informationen findest du unter Problemlösung für Warnungen der Codeüberprüfung.
Um die Ergebnisse der code scanning in deinen Repositorys oder deiner Organisation zu überwachen, kannst du Webhooks und die code scanning-API verwenden. Informationen zu den Webhooks für die code scanning findest du unter Webhook-Ereignisse und -Nutzlasten. Weitere Informationen zu API-Endpunkten findest du unter REST-API-Endpunkte für die Codeüberprüfung.
Informationen zu den ersten Schritten mit der code scanning findest du unter Konfigurieren des Standardsetups für das Codescanning.
Informationen zu Tools für die code scanning
Du kannst die code scanning konfigurieren, um das CodeQL-Produkt zu verwenden, das von GitHub oder einem Drittanbietertool zur code scanning verwaltet wird.
Informationen zur CodeQL-Analyse
CodeQL ist die von GitHub entwickelte Codeanalyse-Engine zum Automatisieren von Sicherheitsprüfungen. Du kannst deinen Code mithilfe von CodeQL analysieren und die Ergebnisse als code scanning-Warnungen anzeigen. Weitere Informationen zu CodeQL findest du unter Informationen zu Codescans mit CodeQL.
Informationen zu code scanning-Tools von Drittanbietern
Code scanning ist mit Code-Scan-Werkzeugen von Drittanbietern interoperabel, welche SARIF-Daten (Static Analysis Results Interchange Format) ausgeben. SARIF ist ein Open-Source-Standard. Weitere Informationen findest du unter SARIF-Unterstützung für die Codeüberprüfung.
Du kannst Analysetools von Drittanbietern innerhalb von GitHub Enterprise Server mithilfe von Aktionen oder innerhalb eines externen CI-Systems ausführen. Weitere Informationen findest du unter Konfigurieren des erweiterten Setups für das Codescanning oder Hochladen einer SARIF-Datei in GitHub.
Informationen zur Seite mit dem Toolstatus
Die Seite mit dem Toolstatus enthält nützliche Informationen zu allen Codeüberprüfungstools. Wenn die Codeüberprüfung nicht wie erwartet funktioniert, ist die Seite mit dem Toolstatus ein guter Ausgangspunkt zum Debuggen von Problemen. Weitere Informationen findest du unter Informationen zur Toolstatusseite für die Codeüberprüfung.