CI 시스템의 CodeQL code scanning 정보
Code scanning는 GitHub 리포지토리의 코드를 분석하여 보안 취약성 및 코딩 오류를 찾는 데 사용하는 기능입니다. 분석으로 식별된 모든 문제는 GitHub에 표시됩니다. 자세한 내용은 "CodeQL이 포함된 code scanning 정보"를 참조하세요.
GitHub Actions를 사용하여 GitHub 내에서 CodeQL code scanning을 실행할 수 있습니다. 또는 타사 CI/CD(지속적인 통합 또는 지속적인 업데이트/배포) 시스템을 사용하는 경우 기존 시스템에서 CodeQL 분석을 실행하고 결과를 GitHub.com에 업로드할 수 있습니다.
CodeQL CLI를 타사 시스템에 추가한 다음 도구를 호출하여 코드를 분석하고 SARIF 결과를 GitHub에 업로드합니다. 결과 code scanning 경고는 GitHub에서 생성된 경고와 함께 표시됩니다.
여러 구성을 사용하여 코드 검사를 실행할 때 경고의 분석 원본이 여러 개 있는 경우가 가끔 있습니다. 경고에 여러 분석 원본이 있는 경우 경고 페이지에서 각 분석 원본에 대한 경고 상태를 볼 수 있습니다. 자세한 내용은 "분석 원본 정보"를 참조하세요.
참고: code scanning로 표시할 SARIF 데이터를 업로드하면 GitHub가 GitHub Advanced Security를 사용하도록 설정된 조직 소유 리포지토리와 GitHub.com의 퍼블릭 리포지토리가 지원됩니다. 자세한 내용은 “리포지토리에 대한 보안 및 분석 설정 관리”를 참조하세요.
CodeQL CLI 정보
CodeQL CLI는 코드를 분석하는 데 사용할 수 있는 독립 실행형 제품입니다. 그 주요 목적은 코드베이스, 즉 CodeQL 데이터베이스의 데이터베이스 표현을 생성하는 것입니다. 데이터베이스가 준비되면 대화형으로 쿼리하거나 쿼리 제품군을 실행하여 SARIF 형식의 결과 집합을 생성하고 결과를 GitHub.com에 업로드할 수 있습니다.
CodeQL CLI를 사용하여 다음을 분석합니다.
- 동적 언어(예: JavaScript 및 Python).
- 컴파일된 언어(예: C/C++, C#, Go, 및 Java)
- 여러 언어로 작성된 코드베이스.
자세한 내용은 “CI 시스템에서 CodeQL CLI 설치”를 참조하세요.
참고:
- CodeQL CLI는 퍼블릭 리포지토리에서 무료로 사용할 수 있습니다. CodeQL CLI는 또한 GitHub Enterprise Cloud를 사용하고 GitHub Advanced Security에 대한 라이선스가 있는 조직이 소유한 프라이빗 리포지토리에서 사용할 수 있습니다. 자세한 내용은 "GitHub CodeQL 사용 약관" 및 "CodeQL CLI"를 참조하세요.
- CodeQL CLI는 (musl 기반) Alpine Linux와 같은 비 glibc Linux 배포판과 현재 호환되지 않습니다.