注: この記事は、2023 年 1 月に CodeQL ドキュメント Web サイトから移行されました。
CodeQL CLI について
ソフトウェア開発者とセキュリティ研究者は、CodeQL 分析を使ってコードをセキュリティ保護できます。 詳しくは、「CodeQL によるコード スキャンについて」を参照してください。
CodeQL CLI は、オープンソース ソフトウェア プロジェクトでローカルに CodeQL プロセスを実行するために使われるコマンド ライン ツールです。 CodeQL CLI を使って次のことができます。
- GitHub エンジニアとオープンソース コミュニティによって提供されるクエリを使って、CodeQL の分析を実行します
- Visual Studio Code 用に CodeQL で使う CodeQL データベースを作成します
- 独自の分析で使うカスタム CodeQL クエリを開発してテストします
CodeQL CLI の使用の詳細については、「CodeQL CLI の使用を開始する」を参照してください。
GitHub Actions または Azure DevOps パイプラインを使用して、CodeQL CLI を使ってコードをスキャンすることもできます。 詳細については、「Configuring default setup for code scanning」または Microsoft Learn で「GitHub Advanced Security for Azure DevOps を構成する」を参照してください。
GitHub CodeQL のライセンスについて
ライセンスに関する注意: GitHub Enterprise ライセンスをお持ちでない場合は、この製品をインストールすることで、GitHub CodeQL の使用条件に同意したことになります。
GitHub CodeQL のライセンスは、ユーザーごとに付与されます。 ライセンスの制限の下で、CodeQL を使って次のタスクを実行できます。
- 学術研究を行う。
- ソフトウェアのデモを行う。
- OSI 承認済みライセンスの下でリリースされた CodeQL クエリをテストし、それらのクエリの新しいバージョンで引き続き適切な脆弱性が検出されることを確認する。
"OSI 承認済みライセンス" とは、オープンソース イニシアティブ (OSI) が承認したオープンソース ソフトウェア ライセンスを意味します。
オープンソース コードベース (つまり、OSI 承認済みライセンスの下でリリースされたコードベース) を使用している場合は、次のタスクに CodeQL を使うこともできます。
- オープンソース コードベースの分析を実行する。
- オープンソース コードベースが GitHub.com でホストおよび保守されている場合、自動分析、継続的インテグレーション、または継続的デリバリーのために、またはそれらの間に、CodeQL データベースを生成する。
ここに記載されている場合を除き、通常のソフトウェア エンジニアリング プロセスの一部であるかどうかにかかわらず、自動分析、継続的インテグレーション、または継続的デリバリーに CodeQL を使うことはできません。 これらの用途については、営業チームにお問い合わせください。
CodeQL CLIのコマンド
CodeQL CLI には、コマンド ラインから CodeQL データベースを作成および分析するためのコマンドが含まれています。 コマンドを実行するには、次の構文を使います。
codeql [command] [subcommand]
コマンドのリファレンス ドキュメントを確認するには、--help フラグを追加するか「CodeQL CLI コマンドのマニュアル」をご覧ください。