CodeQL によるコードスキャンについて

注: この機能を使用するには、サイト管理者が code scanning を有効にする必要があります。詳しくは、「アプライアンス用コードスキャンの構成」を参照してください。

Enterprise の所有者が Enterprise レベルで GitHub Advanced Security (GHAS) ポリシーを設定している場合、code scanning を有効または無効にできない場合があります。詳しくは、「エンタープライズのコードセキュリティと分析のためのポリシーの適用」を参照してください。

CodeQL は、セキュリティチェックを自動化するために GitHub が開発した、コード分析エンジンです。 CodeQL を使用してコードを分析し、結果を code scanning アラートとして表示することができます。

code scanningに対して CodeQL 分析を使用する方法には、主に 2 通りあります。

既定の設定を使用して、リポジトリ上の code scanning の CodeQL 分析をすばやく構成します。既定の設定では、分析する言語、実行するクエリスイート、スキャンをトリガーするイベントが自動的に選択されます。必要に応じて、実行するクエリスイートと分析する言語を手動で選択できます。 CodeQL を有効にすると、GitHub Actions によってワークフロー実行が実行され、コードがスキャンされます。詳しくは、「コードスキャンの既定セットアップの構成」を参照してください。
詳細設定を使用して、CodeQL ワークフローをご利用のリポジトリに追加します。これにより、github/codeql-action を使用して CodeQL CLI を実行するカスタマイズ可能なワークフローファイルが生成されます。詳しくは、「コードスキャンの高度なセットアップの構成」を参照してください。
外部 CI システムで CodeQL CLI を直接実行し、結果を GitHub にアップロードします。詳しくは、「既存の CI システムでコードスキャンを使用する」を参照してください。

GitHub Enterprise Server 3.11 の場合は、CodeQL アクションの既定で CodeQL CLI バージョン 2.14.6 が使われます。外部 CI システムで分析を実行する場合は、同じバージョンの CodeQL CLI を使うことをお勧めします。

code scanning アラートについては、「Code scanningアラートについて」をご覧ください。

CodeQL について

CodeQL は、コードをデータのように扱うプログラミング言語および関連ツールです。これは、コードの分析を容易にし、従来の静的アナライザーよりも信頼度の高いコード内の潜在的な脆弱性を見つけられるように、明示的に作成されました。

ご利用のコードベースを表現する CodeQL データベースを生成します。
次に、そのデータベースに対して CodeQL クエリを実行して、コードベース内の問題を特定します。
CodeQL を code scanning で使用すると、クエリ結果は GitHub Enterprise Server に code scanning アラートとして表示されます。

CodeQL ではコンパイルおよびインタープリタ言語の両方がサポートされていて、サポートされている言語で記述されたコードの脆弱性とエラーを見つけることができます。

注:

詳細については、CodeQL Web サイトのドキュメント「サポートされている言語とフレームワーク」を参照してください。

CodeQL クエリパックが GitHub Container registry に公開されると、クエリとコンパイルキャッシュに必要なすべての推移的な依存関係がパッケージに含められます。これにより、パフォーマンスが向上します。そして、パックまたは CLI の新しいバージョンにアップグレードするまでは、パックでクエリを実行するたびに確実に同じ結果が得られます。
CodeQL クエリパックは、複数の GitHub コンテナレジストリからダウンロードできます。詳しくは、「コードスキャン用の高度なセットアップのカスタマイズ」を参照してください。