Informationen zum Standardsetup
Das Standardsetup für das code scanning ist die schnellste und einfachste Möglichkeit mit dem geringsten Wartungsaufwand, um das code scanning für dein Repository zu aktivieren. Das Standardsetup erstellt auf Basis des Codes in deinem Repository automatisch eine benutzerdefinierte code scanning-Konfiguration. Nach dem Aktivieren des Standardsetups wird der Code in CodeQL-unterstützten Sprachen in deinem Repository überprüft:
- Nach jedem Pushen in den Standard-Branch des Repositorys oder einen geschützten Branch. Weitere Informationen zu geschützten Branches finden Sie unter Informationen zu geschützten Branches.
- Beim Erstellen oder Committen eines Pull Requests basierend auf dem Standard-Branch des Repositorys oder einem geschützten Branch (mit Ausnahme von Pull Requests von Forks)
- Bei einem wöchentlichen Plan.
Hinweis
Wenn in einem Repository mit aktiviertem Standardsetup seit 6 Monaten keine Pushes und Pull Requests ausgeführt wurden, wird der wöchentliche Zeitplan deaktiviert, um GitHub Actions-Minuten zu sparen.
Du kannst das Standard-Setup auch für mehrere oder alle Repositorys in einer Organisation gleichzeitig aktivieren. Informationen zur Massenaktivierung finden Sie unter Konfigurieren des Standardsetups für das Codescanning im großen Stil.
Mit dem erweiterten Setup für das code scanning erhältst du präzisere Kontrolle über deine code scanning-Konfiguration. Weitere Informationen finden Sie unter Konfigurieren des erweiterten Setups für das Code-Scanning.
Anforderungen für die Verwendung des Standardsetups
Dein Repository ist für das Standardsetup für code scanning berechtigt, wenn:
- GitHub Actions ist aktiviert.
- GitHub Code Security ist aktiviert.
Es wird empfohlen, das Standardsetup für berechtigte Repositorys zu aktivieren, wenn die Repositorys in Zukunft mindestens eine von CodeQL unterstützte Sprache enthalten. Wenn du das Standardsetup für ein Repository aktivierst, das keine von CodeQL unterstützten Sprachen enthält, führt das Standardsetup keine Scans aus und nutzt keine GitHub Actions-Minuten. Wenn die von CodeQL unterstützten Sprachen zum Standardbranch des Repositorys hinzugefügt werden, beginnt das Standardsetup automatisch mit dem Scannen der von CodeQL unterstützten Sprachen und der Nutzung von GitHub Actions-Minuten. Weitere Informationen zu den von CodeQL unterstützten Sprachen findest du unter Informationen zu Codescans mit CodeQL.
Sie können das Standardsetup für alle von CodeQL unterstützten Sprachen für selbst-gehostete Runner oder von GitHub gehosteten Runner verwenden. Details findest du unter Zuweisen von Bezeichnungen zu Runnern weiter unten in diesem Artikel.
Das Standardsetup verwendet den Build-Modus none für C# und Java und den Build-Modus autobuild für andere kompilierte Sprachen. Sie sollten Ihre selbst gehosteten Runner so konfigurieren, dass sie alle notwendigen Befehle für die C/C++-, C#- und Swift-Analyse ausführen können. Die Analyse von Javascript/TypeScript, Go, Ruby, Python und Kotlin erfordert derzeit keine spezielle Konfiguration.
Anpassen des Standardsetups
Es wird empfohlen, code scanning mit der Standardeinrichtung zu verwenden. Nachdem du das Standardsetup konfiguriert haben, kannst du code scanning auswerten, um zu sehen, wie es für dich funktioniert. Wenn du feststellst, dass etwas nicht wie erwartet funktioniert, kannst du das Standardsetup anpassen, um deine Anforderungen besser zu erfüllen. Weitere Informationen finden Sie unter Auswerten des Standardsetups für die Codeüberprüfung.
Informationen zum Hinzufügen neuer Sprachen zum Standardsetup
Wenn sich der Code in einem Repository ändert, um Sprachen aufzunehmen, die von CodeQL unterstützt werden, aktualisiert GitHub automatisch die code scanning-Konfiguration, um die neue Sprache einzuschließen. Wenn beim code scanning mit der neuen Konfiguration ein Fehler auftritt, setzt GitHub automatisch die vorherige Konfiguration fort, damit das code scanning für das Repository weiterhin funktioniert.
Konfigurieren des Standardsetups für ein Repository
Hinweis
Wenn die Analysen für alle von CodeQL unterstützten Sprachen in einem Repository fehlschlagen, wird das Standardsetup zwar aktiviert, führt jedoch keine Überprüfungen durch und nutzt keine GitHub Actions-Minuten, bis eine weitere von CodeQL unterstützte Sprache zum Repository hinzugefügt oder das Standardsetup manuell neu konfiguriert wird und die Analyse einer von CodeQL unterstützten Sprache erfolgreich ist.
-
Navigieren Sie auf GitHub zur Hauptseite des Repositorys.
Hinweis
Wenn du das Standardsetup für einen Fork konfigurierst, musst du zuerst GitHub Actions aktivieren. Klicken Sie zum Aktivieren von GitHub Actions unter Ihrem Repository-Namen auf Actions, und klicken Sie dann auf I understand my workflows, go ahead and enable them. Beachten Sie, dass dadurch alle vorhandenen Workflows in Ihrer Verzweigung aktiviert werden.
-
Klicke unter dem Repositorynamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.
-
Klicke im Abschnitt „Security“ der Randleiste auf Advanced Security.
-
Wähle unter „Code Security“ rechts von „CodeQL analysis“ die Option Set up aus, und klicke dann auf Default.
Daraufhin wird das Dialogfeld „CodeQL-Standardkonfiguration“ angezeigt, in dem die code scanning-Konfiguration zusammengefasst wird, die automatisch vom Standardsetup erstellt wurde.
-
Klicke optional zum Anpassen deines code scanning-Setups auf Edit.
- Um der vom Standardsetup durchgeführten Analyse eine Sprache hinzuzufügen oder daraus zu entfernen, aktiviere oder deaktiviere diese Sprache im Abschnitt „Sprachen“.
- Um die CodeQL-Abfragesammlung anzugeben, die du verwenden möchtest, wähle im Abschnitt „Abfragesammlungen“ deine bevorzugte Abfragesammlung aus.
-
Überprüfe die Einstellungen für das Standardsetup in deinem Repository, und klicke dann auf CodeQL aktivieren. Dadurch wird ein Workflow ausgelöst, der die neue, automatisch generierte Konfiguration testet.
Hinweis
Wenn Sie vom erweiterten Setup zum Standardsetup wechseln, wird eine Warnung angezeigt, die Sie darüber informiert, dass das Standardsetup vorhandene code scanning Konfigurationen überschreibt. Diese Warnung bedeutet, dass das Standardsetup die vorhandene Workflowdatei deaktiviert und jegliche Uploads der CodeQL-Analyse-API blockiert.
-
Wähle optional zum Anzeigen deiner Standardsetupkonfiguration nach der Aktivierung aus, und klicke dann auf View CodeQL configuration.
Zuweisen von Bezeichnungen zu Runnern
Hinweis
Code scanning sieht zugewiesene Runner, wenn das Standardsetup aktiviert ist. Wenn ein Runner einem Repository zugewiesen ist, das bereits das Standardsetup ausführt, müssen Sie das Standardsetup deaktivieren und erneut aktivieren, um mit der Verwendung des Runners zu beginnen. Wenn Sie einen Runner hinzufügen und mit der Verwendung beginnen möchten, können Sie die Konfiguration manuell ändern, ohne das Standardsetup deaktivieren und erneut aktivieren zu müssen.
Sie können auch selbst-gehostete Runner mit der Standardbezeichnung code-scanning zuweisen oder optional benutzerdefinierte Bezeichnungen zuweisen, sodass einzelne Repositorys unterschiedliche Runner verwenden können. Weitere Informationen zum Zuweisen von Bezeichnungen zu selbst-gehosteten Runnern finden Sie unter Verwenden von Bezeichnungen mit selbstgehosteten Runnern.
Die Angabe benutzerdefinierter Bezeichnungen für selbst-gehostete Runner ist optional. Es wird empfohlen, dass Sie nur Runner mit der Standardbezeichnung code-scanning zuweisen, es sei denn, Sie haben einen bestimmten Anwendungsfall. Sie können z. B. Folgendes wünschen:
- Weisen Sie kritischen Repositorys leistungsstärkere selbst-gehostete Runner für schnellere Analysen der code scanning zu.
- Führen Sie Ihre Analysen der code scanning auf einer bestimmten Plattform aus (z. B. macOS).
- Verfügen Sie über eine detaillierte Steuerung der Workload für Ihre GitHub gehosteten Runnern und selbst-gehosteten Runnern.
Nachdem Sie selbst-gehosteten Runnern benutzerdefinierte Bezeichnungen zugewiesen haben, können Ihre Repositorys diese Runner für das Standardsetup der code scanning verwenden. Weitere Informationen finden Sie weiter oben in diesem Artikel unter Konfigurieren des Standardsetups für ein Repository.
Sie können auch security configurations zum Zuweisen von Bezeichnungen zu selbst-gehosteten Runnern für die code scanning verwenden. Weitere Informationen findest du unter Erstellen einer benutzerdefinierten Sicherheitskonfiguration.
Nächste Schritte
Nachdem deine Konfiguration mindestens einmal erfolgreich ausgeführt wurde, kannst du code scanning-Warnungen untersuchen und beheben. Weitere Informationen zu code scanning-Warnungen finden Sie unter Informationen zu Codeüberprüfungswarnungen und Bewerten von Warnungen der Codeüberprüfung für das Repository.
Nachdem du das Standardsetup fürcode scanning konfiguriert hast, kannst du dich darüber informieren, wie du auswerten kannst, wie gut das Ganze für dich funktioniert, sowie über die nächsten Schritte, die du ausführen kannst, um es anzupassen. Weitere Informationen finden Sie unter Auswerten des Standardsetups für die Codeüberprüfung.
Ausführliche Informationen zu deiner code scanning-Konfiguration, einschließlich Zeitstempeln für jede Überprüfung und dem Prozentsatz der überprüften Dateien, findest du auf der Seite „Toolstatus“. Weitere Informationen finden Sie unter Verwenden der Toolstatusseite zum Scannen von Code.
Beim Konfigurieren des Standardsetups tritt möglicherweise ein Fehler auf. Weitere Informationen zum Behandeln bestimmter Fehlern finden Sie unter Problembehandlung bei Analysefehlern.