关于代码扫描警报

关于 code scanning 中的警报

可以配置 code scanning，以使用默认 CodeQL 分析、第三方分析或多种类型的分析来检查存储库中的代码。分析完成后，生成的警报将并排显示在仓库的安全视图中。第三方工具或自定义查询的结果可能不包括您在 GitHub 的默认 CodeQL 分析所检测的警报中看到的所有属性。有关详细信息，请参阅“配置代码扫描的默认设置”和“配置代码扫描的高级设置”。

默认情况下， code scanning 定期在默认分支和拉取请求中分析您的代码。有关管理拉取请求上警报的信息，请参阅“鉴定拉取请求中的代码扫描警报”。

可以使用 GitHub 工具审核为响应code scanning警报而执行的操作。有关详细信息，请参阅“审核安全警报”。

关于警报详细信息

每个警报都会高亮显示代码的问题以及识别该问题的工具名称。你可以看到触发警报的代码行以及警报的属性，例如警报严重性、安全严重性和问题的性质。警报还会告知该问题第一次被引入的时间。对于由 CodeQL 分析确定的警报，您还会看到如何解决问题的信息。

警报页面上的状态和详细信息仅反映存储库默认分支上的警报状态，即使警报存在于其他分支中也是如此。可以在警报页右侧的“受影响的分支”部分查看非默认分支上的警报状态。如果默认分支中不存在警报，则警报的状态将显示为“在拉取请求中”或“在分支中”，并将变为灰色。

显示 code scanning 警报的元素的屏幕截图，包括左侧的警报标题和相关代码行以及右侧的严重性级别、受影响分支和弱点。如果使用 CodeQL 配置 code scanning，还可以在代码中发现数据流问题。数据流分析将查找代码中的潜在安全问题，例如：不安全地使用数据、将危险参数传递给函数以及泄漏敏感信息。

当 code scanning 报告数据流警报时，GitHub 将显示数据在代码中如何移动。 Code scanning 可用于识别泄露敏感信息的代码区域，以及可能成为恶意用户攻击切入点的代码区域。

关于严重性级别

警报严重性级别可能为 Error、Warning 或 Note。

如果将 code scanning 作为拉取请求检查启用，检测到严重性为 error 的任何结果时，检查都将失败。可以指定代码扫描警报的哪个严重性级别会导致检查失败。有关详细信息，请参阅“自定义代码扫描的高级设置”。

关于安全严重性级别

Code scanning 显示安全查询生成的警报的安全严重性级别。安全严重性级别可以是 Critical、High、Medium 或 Low。

为计算警报的安全严重性，我们将使用常见漏洞评分系统 (CVSS) 数据。 CVSS 是一个开放框架，用于传达软件漏洞的特征和严重性，通常由其他安全产品用来为警报评分。若要详细了解如何计算严重性级别，请参阅此博客文章。

默认情况下，安全严重性为 Critical 或 High 的任何 code scanning 结果都会导致检查失败。可以指定 code scanning 结果的哪个安全严重性级别会导致检查失败。有关详细信息，请参阅“自定义代码扫描的高级设置”。

关于来自多个配置

可以使用不同的工具和针对代码的不同语言或区域，在存储库上运行多个代码分析配置。 code scanning 的每个配置都会生成一组唯一的警报。例如，使用默认 CodeQL 分析和 GitHub Actions 生成的警报与外部生成并通过 code scanning API 上传的警报用到的配置不同。

如果使用多个配置来分析文件，同一查询检测到的任何问题都将报告为多个配置生成的警报。如果警报存在于多个配置中，则配置数会显示在警报页面右侧“受影响的分支”部分的分支名称旁边。若要查看警报的配置，请在“受影响的分支”部分中单击分支。此时将显示“配置分析”模式，其中包含生成该分支警报的每个配置的名称。在每个配置下，可以看到该配置的警报上次更新的时间。

警报可能会显示不同配置的不同状态。若要更新警报状态，请重新运行每个过时的配置。或者，可以从分支中删除过时的配置，以删除过时的警报。有关删除过时配置和警报的详细信息，请参阅“管理存储库的代码扫描警报”。