Wenn Sie mit der ersten Verwendung code scanningbeginnen, verwenden Sie wahrscheinlich das Standardsetup. In diesem Handbuch wird beschrieben, wie Sie bewerten, wie das Standardsetup für code scanning bei Ihnen funktioniert und was zu tun ist, wenn etwas nicht wie erwartet funktioniert. In diesem Handbuch wird auch beschrieben, wie Sie anpassen code scanning können, wenn Sie feststellen, dass Sie über einen bestimmten Anwendungsfall verfügen, für den Ihre neue Konfiguration nicht passt.
Anpassen code scanning
Beim erstmaligen Konfigurieren des Standardsetups oder nach einer anfänglichen Analyse deines Codes kannst du festlegen, welche Sprachen das Standardsetup analysieren soll und welche Abfragesuite während der Analyse ausgeführt wird. Die default Abfragesuite enthält eine Reihe von Abfragen, die sorgfältig darauf ausgelegt sind, nach den relevantesten Sicherheitsproblemen zu suchen, während falsch positive Ergebnisse minimiert werden. Du kannst jedoch die security-extended Suite verwenden, um zusätzliche Abfragen auszuführen, die eine etwas niedrigere Genauigkeit aufweisen. Weitere Informationen zu den verfügbaren Abfragesammlungen findest du unter CodeQL-Abfragesammlungen.
Weitere Informationen zur Anpassung des Standardsetups findest du unter Bearbeiten der Konfiguration des Standardsetups.
Erweitertes Setup verwenden
Wenn Sie herausgefunden haben, dass Sie immer noch mehr Kontrolle über code scanning benötigen, können Sie das erweiterte Setup verwenden. Die erweiterte Einrichtung erfordert einen deutlich höheren Aufwand für die Konfiguration, Anpassung und Wartung, weshalb wir empfehlen, zunächst die Standardeinrichtung zu aktivieren. Weitere Informationen zum erweiterten Setup findest du unter Konfigurieren des erweiterten Setups für das Code-Scanning und Workflowkonfigurationsoptionen für die Codeüberprüfung.
Bewerten code scanning mit dem Seite mit dem Toolstatus
Dieses Seite mit dem Toolstatus zeigt nützliche Informationen über alle Ihre code scanning-Tools. Du kannst es verwenden, um zu untersuchen, ob einzelne Tools für ein Repository arbeiten, wann Dateien im Repository zuerst gescannt und zuletzt gescannt wurden und wann anstehende Scans geplant sind. Es ist auch ein nützlicher Ausgangspunkt für das Debuggen von Problemen.
Mithilfe von Seite mit dem Toolstatus können Sie die Liste der Regeln, gegen die code scanning prüft, im CSV-Format herunterladen. Für integrierte Tools wie CodeQLkönnen Sie auch detailliertere Informationen anzeigen, einschließlich eines Prozentsatzes der gescannten Dateien und spezifischer Fehlermeldungen.
Wenn Sie feststellen, dass das Standardsetup nicht alle Ihre Dateien überprüft, müssen Sie möglicherweise anpassen code scanning. Weitere Informationen findest du unter Anpassen des Codescanning in diesem Artikel. Alternativ kannst du unsere dedizierte Dokumentation zur Problembehandlung hilfreich finden, wenn etwas anderes nicht wie erwartet funktioniert. Weitere Informationen findest du unter Behebung von Fehlern bei der Code-Scan-Analyse.
Ausführlichere Informationen zu Seite mit dem Toolstatus finden Sie unter Verwenden der Toolstatusseite zum Scannen von Code.