La configuration par défaut pour l’analyse du code remplace la configuration avancée

Vous appliquez une variable security configuration avec « Activé avec configuration avancée autorisée » et la configuration avancée existante pour code scanning est ignorée dans certains référentiels.

Qui peut utiliser cette fonctionnalité ?

Propriétaires de l’organisation, gestionnaires de sécurité et membres de l’organisation avec le rôle d’administrateur

Dans cet article

À propos du problème

Lorsque vous appliquez une variable security configuration et que code scanning est défini comme « Activé avec configuration avancée autorisée », chaque référentiel est vérifié afin de déterminer s'il existe une configuration avancée active.

  •         **Aucune modification n'est apportée à code scanning** si une configuration avancée **active** est détectée.

  •         **La configuration par défaut est activée** pour les référentiels où l’installation avancée est **inactive ou absente**.

Configuration avancée inactive ou absente

La configuration avancée est considérée comme inactive pour un référentiel si celui-ci répond à l'un des critères suivants :

  • La dernière analyse CodeQL date de plus de 90 jours.
  • Toutes les configurations CodeQL ont été supprimées.
  • Le fichier de flux de travail a été supprimé ou désactivé (uniquement pour la configuration avancée exécutée à l'aide d'actions).

Résolution du problème

Cette solution comprend deux parties :

  1. Tout référentiel dans lequel la configuration par défaut de code scanning a été appliquée de manière inattendue doit exécuter l'analyse CodeQL à des intervalles inférieurs à 90 jours, par exemple une fois par mois.

    Même si le référentiel n'est pas en cours de développement actif, de nouvelles vulnérabilités peuvent être identifiées par des mises à jour de l'analyse CodeQL.

  2. Une fois que l'analyse CodeQL est en cours d'exécution sur tous les référentiels concernés, vous pouvez réappliquer la configuration security configuration.