GitHub 代码扫描错误提交单个文件后丢失

Question

我正在开发一个 Github 代码分析模块。我的目标是对所有编码执行一些代码分析并在安全页面上显示结果。

这就是我所做的，

1. 首先，扫描所有文件并将 SARIF 文件上传到 GitHub。
2. 然后，对于每个提交的文件，我们运行代码分析并上传其 SARIF 文件。

最初一切都运行良好。 例如，如果有 10 个文件，则有 20 个安全问题。它在安全选项卡中列出了 20 个错误。

但是如果我提交，修改后的任何文件。然后所有 20 个错误都被关闭，并且 GitHub 安全选项卡中仅显示提交文件中的 1-2 个错误。

请帮助我如何保留我们最初生成的所有其他文件中的错误。

预先感谢您的帮助和专业知识。

Answer 1

代码扫描每次都需要针对同一组文件运行。每次运行该工具时，都会生成代码库的全面数据库表示形式。如果您要排除任何文件，这可能会导致数据流丢失或不再位于 CodeQL 数据库中的源/接收器。在任何这些情况下，这都可能进一步导致漏洞警报未被检测到。

如果您最终创建了多个扫描配置，它们仍然应该有一组确定的正在扫描的文件。确保您对扫描配置的任何变化使用不同的 SARIF

category

。对于给定的

repo/tool(codeql)/configuration

- 如果后续扫描中不存在警报，它将被关闭。如果它再次出现在另一次后续扫描中，它将被重新打开。

请参阅：https://docs.github.com/en/code-security/code-scanning/integrating-with-code-scanning/sarif-support-for-code-scanning?learn=code_security_integration#uploading-more-一次提交的多个 sarif 文件