Codescanprotokolle

Du kannst die Ausgabe anzeigen, die während der code scanning-Analyse in GitHub generiert wurde.

In diesem Artikel

Die für dich verfügbaren Protokoll- und Diagnoseinformationen hängen von der Methode ab, die du für code scanning in deinem Repository verwendest. Du kannst den Typ von code scanning auf der Registerkarte Sicherheit deines Repositorys überprüfen, indem du das Dropdownmenü Tool in der Warnungsliste verwendest. Informationen zum Zugriff auf diese Seite finden Sie unter AUTOTITLE.

Protokolle in GitHub

Du kannst Analyse- und Diagnoseinformationen für die code scanning-Ausführung mit CodeQL-Analyse auf GitHub anzeigen.

  • Analyseinformationen werden für die neueste Analyse in einer Kopfzeile oben in der Liste der Warnungen angezeigt. Weitere Informationen findest du unter AUTOTITLE.
  • Diagnoseinformationen werden in den GitHub Actions-Workflowprotokollen angezeigt und bestehen aus Übersichtsmetriken und Extraktordiagnosen. Informationen zum Zugriff auf diese Protokolle finden Sie unter AUTOTITLE.

Zusammenfassende Kennzahlen

Zusammenfassungsmetriken enthalten Folgendes:

  • Codezeilen in der Codebase (als Baseline) vor Erstellung und Extrahierung der CodeQL-Datenbank
  • Codezeilen in der CodeQL-Datenbank, die aus dem Code extrahiert wurden, einschließlich externer Bibliotheken und automatisch generierter Dateien
  • Codezeilen in der CodeQL-Datenbank ohne automatisch generierte Dateien und externe Bibliotheken

Diagnose der Quellcodeextraktion

Die Extraktordiagnose deckt nur Dateien ab, die während der Analyse ermittelt wurden. Metriken:

  • Anzahl erfolgreich analysierter Dateien
  • Anzahl von Dateien, die während der Datenbankerstellung Extraktorfehler generiert haben
  • Anzahl von Dateien, die während der Datenbankerstellung Extraktorwarnungen generiert haben

Wenn du die Debugprotokollierung aktivierst, werden ausführlichere Informationen zu CodeQL-Extraktorfehlern und Warnungen, die während der Datenbankerstellung aufgetreten sind, angezeigt. Weitere Informationen findest du unter AUTOTITLE.

Diagnoseinformationen für private Paket-Registries

Code scanning-Standardworkflows für die Einrichtung umfassen einen -Schritt. Wenn Sie sich einen Workflow ansehen, der für das Standardsetup ausgeführt wird, können Sie diesen Schritt erweitern, um das entsprechende Protokoll anzuzeigen. Dies enthält Informationen dazu, welche privaten Paketregistrierungskonfigurationen für die Analyse verfügbar waren. Darüber hinaus enthält das Protokoll einige Diagnoseinformationen, die bei der Problembehandlung hilfreich sein können, wenn die privaten Paketregistrierungen im Standardsetup von code scanning nicht erfolgreich genutzt werden. Suchen Sie nach den folgenden Nachrichten:

  • Mindestens eine private Registrierung ist für die Organisation konfiguriert. Dazu gehören Konfigurationen von privaten Registrierungstypen, die vom code scanning Standard-Setup nicht unterstützt werden. Weitere Informationen zu unterstützten Registrierungstypen finden Sie unter AUTOTITLE.

  • Credentials loaded for the following registries:

    • Wenn keine Liste der Konfigurationen folgt, wurden keine privaten Registry-Konfigurationen gefunden, die von code scanning Standardeinrichtung unterstützt werden.
    • Andernfalls wird eine Zeile für jede unterstützte Konfiguration angezeigt, die erfolgreich geladen wurde. Eine Zeile, die enthält, zeigt beispielsweise an, dass eine private NuGet-Feedkonfiguration geladen wurde.
    • Die Informationen zur Konfiguration im Protokoll stimmen möglicherweise nicht genau überein, was für die Organisation in der Benutzeroberfläche konfiguriert ist. Beispielsweise kann das Protokoll angeben, dass ein gesetzt ist, auch wenn ein in der Benutzeroberfläche konfiguriert ist.

  • Der Authentifizierungsproxy, der von der code scanning-Standardeinrichtung zur Authentifizierung bei den konfigurierten privaten Paketregistrierungen verwendet wird, wurde erfolgreich gestartet.

  • Danach gibt es möglicherweise Meldungen zu den Ergebnissen von Verbindungstests, die versuchen, die konfigurierten privaten Paketregistrierungen über den Authentifizierungsproxy zu erreichen. Dies ist ein Best-Effort-Prozess. Wenn diese Prüfungen für einige Register nicht erfolgreich sind, bedeutet dies nicht unbedingt, dass die relevanten Konfigurationen nicht funktionieren. Wenn du jedoch feststellst, dass die code scanning-Standardeinrichtung während der Analyse nicht erfolgreich auf Abhängigkeiten in den privaten Registrierungen zugreifen kann, kann dies dir einige Informationen zur Behebung des Problems bereitstellen.

Wenn die Ausgabe des Schritts wie erwartet ist, die code scanning-Standardeinrichtung jedoch nicht erfolgreich auf Abhängigkeiten in den privaten Registrierungen zugreifen kann, kannst du zusätzliche Informationen zur Problembehandlung abrufen. Weitere Informationen findest du unter AUTOTITLE.

Weitere Informationen dazu, wie du der code scanning-Standardeinrichtung Zugriff auf private Registrierungen erteilst, findest du unter AUTOTITLE.

Protokolle für die CodeQL CLI

Wenn du die CodeQL CLI außerhalb von GitHub verwendest, werden Diagnoseinformationen in der Ausgabe angezeigt, die während der Datenbankanalyse generiert wird. Diese Informationen sind auch in der SARIF-Ergebnisdatei enthalten.

Protokolle in VS Code

Status- und Fehlermeldungen werden als Benachrichtigungen in der unteren rechten Ecke des Visual Studio Code-Arbeitsbereichs angezeigt. Diese verlinken zu detaillierteren Protokollen und Fehlermeldungen im Fenster „Ausgabe“.

Sie können auf separate Protokolle für die CodeQL Erweiterung, Sprach-Server, Abfrage-Server oder Tests zugreifen. Das Language Server-Protokoll enthält erweiterte Debugprotokolle für CodeQL-Sprachverwalter. Sie sollten diese nur benötigen, um Details in einem Fehlerbericht anzugeben.

Informationen zum Zugriff auf diese Protokolle finden Sie unter AUTOTITLE.