Snabbstart: Skapa ett GitHub-arbetsflöde för säkerhetsgenomsökning

I den här snabbstarten får du lära dig hur du skapar ett CodeQL GitHub-arbetsflöde för att automatisera identifieringen av säkerhetsrisker i .NET-kodbasen.

I CodeQL behandlas kod som data. Säkerhetsrisker, buggar och andra fel modelleras som frågor som kan köras mot databaser som extraheras från kod.

• GitHub CodeQL: Om

Förutsättningar

• Ett GitHub-konto.
• En .NET-källkodslagringsplats.

Skapa en arbetsflödesfil

På GitHub-lagringsplatsen lägger du till en ny YAML-fil i katalogen .github/workflows . Välj ett meningsfullt filnamn, något som tydligt anger vad arbetsflödet är avsett att göra. Mer information finns i Arbetsflödesfil.

Arbetsflödesfiler definierar vanligtvis en sammansättning av en eller flera GitHub-åtgärder via jobs.<job_id>/steps[*]. Mer information finns i Arbetsflödessyntax för GitHub Actions.

Skapa en ny fil med namnet codeql-analysis.yml, kopiera och klistra in följande YML-innehåll i den:

name: "CodeQL"

on:
  push:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  pull_request:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  schedule:
    - cron: '0 8 * * 4'

jobs:
  analyze:

    name: analyze
    runs-on: ubuntu-latest

    strategy:
      fail-fast: false
      matrix:
        language: ['csharp']

    steps:
    - name: Checkout repository
      uses: actions/checkout@v3
      with:
        fetch-depth: 2

    - run: git checkout HEAD^2
      if: ${{ github.event_name == 'pull_request' }}

    - name: Initialize CodeQL
      uses: github/codeql-action/init@v1
      with:
        languages: ${{ matrix.language }}

    - name: Autobuild
      uses: github/codeql-action/autobuild@v1

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v1

I föregående arbetsflödessammansättning:

• Definierar name: CodeQL namnet, "CodeQL" visas i statusikoner för arbetsflödet.

  name: "CodeQL"
  

• Noden on anger de händelser som utlöser arbetsflödet:

  on:
    push:
      branches: [main]
      paths:
      - '**.cs'
      - '**.csproj'
    pull_request:
      branches: [main]
      paths:
      - '**.cs'
      - '**.csproj'
    schedule:
      - cron: '0 8 * * 4'
  

  • Utlöses när en push eller pull_request inträffar på grenen main där alla filer som ändrats slutar med filnamnstilläggen .cs eller .csproj .
  • Som ett cron-jobb (enligt ett schema)– att köras kl. 8:00 UTC varje torsdag.

• Noden jobs skapar de steg som arbetsflödet ska utföra.

  jobs:
    analyze:
  
      name: analyze
      runs-on: ubuntu-latest
  
      strategy:
        fail-fast: false
        matrix:
          language: ['csharp']
  
      steps:
      - name: Checkout repository
        uses: actions/checkout@v3
        with:
          fetch-depth: 2
  
      - run: git checkout HEAD^2
        if: ${{ github.event_name == 'pull_request' }}
  
      - name: Initialize CodeQL
        uses: github/codeql-action/init@v1
        with:
          languages: ${{ matrix.language }}
  
      - name: Autobuild
        uses: github/codeql-action/autobuild@v1
  
      - name: Perform CodeQL Analysis
        uses: github/codeql-action/analyze@v1
  

  • Det finns ett enda jobb med namnet analyze som körs på den senaste versionen av Ubuntu.
  • Definierar strategy C# som language.
  • GitHub-åtgärden github/codeql-action/init@v1 används för att initiera CodeQL.
  • github/codeql-action/autobuild@v1 GitHub-åtgärden skapar .NET-projektet.
  • github/codeql-action/analyze@v1 GitHub-åtgärden utför CodeQL-analysen.

Mer information finns i GitHub Actions: Konfigurera kodgenomsökning.

Skapa ett statusmärke för arbetsflödet

Det är vanligt att GitHub-lagringsplatser har en README.md fil i roten i lagringsplatsens katalog. På samma sätt är det bra att rapportera den senaste statusen för olika arbetsflöden. Alla arbetsflöden kan generera ett statusmärke som är visuellt tilltalande i README.md-filen . Så här lägger du till statusikonen för arbetsflödet:

1. Från GitHub-lagringsplatsen väljer du navigeringsalternativet Åtgärder .

2. Alla arbetsflöden för lagringsplatser visas till vänster, välj önskat arbetsflöde och ellipsknappen (...).

   • Ellipsknappen (...) expanderar menyalternativen för det valda arbetsflödet.

3. Välj menyalternativet Skapa statusikon .

   

4. Välj knappen Kopiera statusikonen Markdown.

   

5. Klistra in Markdown i filen README.md , spara filen, checka in och push-överföra ändringarna.

Mer information finns i Lägga till ett statusmärke för arbetsflödet.

Exempel på statusmärke för CodeQL-arbetsflöde

Passerar	Misslyckas	Ingen status

Se även

• Riktlinjer för säker kodning
• åtgärder/utcheckning
• actions/setup-dotnet

Nästa steg