此版本的 GitHub Enterprise Server 已于以下日期停止服务 2024-07-09. 即使针对重大安全问题，也不会发布补丁。 为了获得更好的性能、更高的安全性和新功能，请升级到最新版本的 GitHub Enterprise。 如需升级帮助，请联系 GitHub Enterprise 支持。

用于 CodeQL 分析的 Go 查询

当您选择 default 或 security-extended 查询套件时，浏览 CodeQL 用于分析用 Ruby 编写的代码的查询。

谁可以使用此功能？

Code scanning 可用于 GitHub Enterprise Server 中的组织拥有的存储库。 此功能需要 GitHub Advanced Security 的许可证。 有关详细信息，请参阅“关于 GitHub 高级安全性”。

CodeQL 包含许多用来分析 Ruby 代码的查询。 默认情况下，default 查询套件中的所有查询都会运行。 如果选择使用 security-extended 查询套件，则会运行其他查询。 有关详细信息，请参阅“CodeQL 查询套件”。

用于 Ruby 分析的内置查询

下表列出了最新版本的 CodeQL 操作和 CodeQL CLI 的可用查询。 有关详细信息，请参阅 CodeQL 文档中的 CodeQL 更改日志。

注意： GitHub Enterprise Server 3.9 的初始版本包括 CodeQL 操作和 CodeQL CLI 2.12.7，可能不包括所有这些查询。 网站管理员可以将 CodeQL 版本更新到较新版本。 有关详细信息，请参阅“为设备配置代码扫描”。

查询名称相关的 CWE默认延期Autofix
错误的 HTML 筛选正则表达式116、020、185、186
错误定位的正则表达式020
敏感信息的明文记录312、359、532
敏感信息的明文存储312、359、532
代码注入094、095、116
未启用 CSRF 保护352
CSRF 保护削弱或停用352
使用未加密信道下载依赖项300、319、494、829
用户控制数据的反序列化502
通过不安全的连接下载敏感文件829
不完整的多字符清理020、080、116
验证主机名的正则表达式不完整020
不完整字符串转义或编码020、080、116
不完整的 URL 子字符串清理020
低效的正则表达式1333、730、400
通过异常泄漏信息209、497
不安全的大规模分配915
过于宽松的正则表达式范围020
用于不受控制数据的多项式正则表达式1333、730、400
反射型服务器端跨站脚本079、116
正则表达式注入1333、730、400
从 GET 请求所读取的敏感数据598
服务器端请求伪造918
从用户控制的来源生成的 SQL 查询089
存储的跨站脚本079、116
不受控命令行078、088
路径表达式中使用的不受控数据022、023、036、073、099
从库输入构造的 HTML 代码079、116
从库输入构造的不安全 shell 命令078、088、073
来自远程来源的 URL 重定向601
使用 Kernel.open 或 IO.read 类似的接收器与非常数值078、088、073
使用 Kernel.open、IO.read 或类似接收器与用户控制的输入078、088、073
使用已破解或较弱的加密算法327
使用外部控制的格式字符串134
弱 Cookie 配置732、1275
XML 外部实体扩展611、776、827
硬编码凭证259、321、798
硬编码的数据解释为代码506
日志注入117
正则表达式定位点缺失020
网络数据写入文件912、434
没有证书验证的请求295
从资料库输入构造的不安全代码094、079、116