使用众所周知的弱点与gitHub动作配置CodeQl

Question

我是CodeQL的新手，因此，如果我的问题是一个显而易见的问题，我深表歉意，但是，我无法理解一些简单的概念。

首先，我可以使用GITHUB操作的YML文件来轻松配置公共存储库，如以下方式：

on:
  push:
    branches: [ master ]
  pull_request:
    # The branches below must be a subset of the branches above
    branches: [ master ]

jobs:
  analyze:
    name: Analyze
    runs-on: ubuntu-latest
    permissions:
      actions: read
      contents: read
      security-events: write

    strategy:
      fail-fast: false
      matrix:
        language: [ 'java' ]
        # CodeQL supports [ 'cpp', 'csharp', 'go', 'java', 'javascript', 'python', 'ruby' ]
        # Learn more about CodeQL language support at https://aka.ms/codeql-docs/language-support

    steps:
      - name: Checkout repository
        uses: actions/checkout@v3

      # Initializes the CodeQL tools for scanning.
      - name: Initialize CodeQL
        uses: github/codeql-action/init@v2
        with:
          queries: +security-extended
          languages: ${{ matrix.language }}
          # If you wish to specify custom queries, you can do so here or in a config file.
          # By default, queries listed here will override any specified in a config file.
          # Prefix the list here with "+" to use these queries and those in the config file.

          # Details on CodeQL's query packs refer to : https://docs.github.com/en/code-security/code-scanning/automatically-scanning-your-code-for-vulnerabilities-and-errors/configuring-code-scanning#using-queries-in-ql-packs
          # queries: security-extended,security-and-quality


      # Autobuild attempts to build any compiled languages  (C/C++, C#, or Java).
      # If this step fails, then you should remove it and run the build manually (see below)
      - name: Autobuild
        uses: github/codeql-action/autobuild@v2

      # ℹ️ Command-line programs to run using the OS shell.
      # 
              

Answer 1

CodeQl仅具有a 特定的查询集 CWES。 此列表显示了Java的当前覆盖CWES。

据我所知，目前尚无查询，它检测到您在问题中显示的特定问题（但是，查询检测derefencing null ）。这样做的原因很可能很难防止误报。例如，如果您的应用程序是从 -DCMD 开始的，则系统属性将不为 null 。同样，在应用程序的不同部分中，可能会有一个调用 system.setProperty ，该部分将系统属性设置为非 null 值。

除此之外，您已经配置了查询： +Security-Extended ，但是您要查找的查询类型（假设存在）很可能在 QUERY SUITE security-and-Quality ，因为它与安全性无关。

您也可以尝试尝试写下您自己的查询然后将它们包括在代码扫描工作流程中。一开始，某些CodeQl的概念可能会有些不熟悉，但它们提供了一个很好的例子和入门教程。但是，您可能应该首先检查提供的查询是否已经足以满足您的用例。

Answer 2

自2022年5月以来：

• （及其associated CWE coverage, with
• 简化了其设置的任何位置：

代码扫描，而无需将工作流文件提交到存储库（2023年1月）

代码扫描的新默认设置功能自动找到并为您的存储库设置最佳的CodeQl配置。
这将检测存储库中的语言，并为每个拉的请求启用CodeQL分析，并将每个推送到默认分支和任何受保护的分支。
默认设置当前支持JavaScript（包括打字稿），Python和Ruby Code的分析。
很快就会支持更多语言，所有 codeql 继续使用github操作工作流量文件继续工作。

新的默认设置功能可用于使用GitHub操作的存储库中的CodeQl。
您可以在存储库的“ 设置”选项卡上使用“ 代码安全性和分析”（由存储库管理员和安全管理者访问）。

使用操作文件文件或通过第三方CI/CD系统上载的API上传设置代码扫描的选项仍然支持并且没有变化。
如果您需要更改默认配置，则这种更高级的设置方法可能会很有用，例如包括自定义查询包。
如果您的分析要求更改，也可以将默认设置配置转换为高级设置。

默认设置当前可在存储库级别可用。
我们正在积极研究组织级别的未来功能，因此您可以轻松地在大量存储库中进行大规模扫描代码。

这已发送到github.com，并将在Github Enterprise Server 3.9中使用。
要了解更多信息，请阅读设置存储库的代码扫描。

在您的情况下，您仍然需要一个操作工作流文件来指定查询包。