Snabbstart: Skapa ett GitHub-arbetsflöde för säkerhetsgenomsökning

Artikel
02/15/2024

I den här snabbstarten får du lära dig hur du skapar ett CodeQL GitHub-arbetsflöde för att automatisera identifieringen av säkerhetsrisker i .NET-kodbasen.

I CodeQL behandlas kod som data. Säkerhetsrisker, buggar och andra fel modelleras som frågor som kan köras mot databaser som extraheras från kod.

GitHub CodeQL: Om

Förutsättningar

Ett GitHub-konto.
En .NET-källkodslagringsplats.

Skapa en arbetsflödesfil

På GitHub-lagringsplatsen lägger du till en ny YAML-fil i katalogen .github/workflows . Välj ett meningsfullt filnamn, något som tydligt anger vad arbetsflödet är avsett att göra. Mer information finns i Arbetsflödesfil.

Viktigt!

GitHub kräver att arbetsflödets sammansättningsfiler placeras i katalogen .github/workflows .

Arbetsflödesfiler definierar vanligtvis en sammansättning av en eller flera GitHub-åtgärder via jobs.<job_id>/steps[*]. Mer information finns i Arbetsflödessyntax för GitHub Actions.

Skapa en ny fil med namnet codeql-analysis.yml, kopiera och klistra in följande YML-innehåll i den:

name: "CodeQL"

on:
  push:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  pull_request:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  schedule:
    - cron: '0 8 * * 4'

jobs:
  analyze:

    name: analyze
    runs-on: ubuntu-latest

    strategy:
      fail-fast: false
      matrix:
        language: ['csharp']

    steps:
    - name: Checkout repository
      uses: actions/checkout@v3
      with:
        fetch-depth: 2

    - run: git checkout HEAD^2
      if: ${{ github.event_name == 'pull_request' }}

    - name: Initialize CodeQL
      uses: github/codeql-action/init@v1
      with:
        languages: ${{ matrix.language }}

    - name: Autobuild
      uses: github/codeql-action/autobuild@v1

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v1

I föregående arbetsflödessammansättning:

Definierar name: CodeQL namnet, "CodeQL" visas i statusikoner för arbetsflödet.
```
name: "CodeQL"
```
Noden on anger de händelser som utlöser arbetsflödet:
```
on:
  push:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  pull_request:
    branches: [main]
    paths:
    - '**.cs'
    - '**.csproj'
  schedule:
    - cron: '0 8 * * 4'
```
- Utlöses när en push eller pull_request inträffar på grenen main där alla filer som ändrats slutar med filnamnstilläggen .cs eller .csproj .
- Som ett cron-jobb (enligt ett schema)– att köras kl. 8:00 UTC varje torsdag.

Noden jobs skapar de steg som arbetsflödet ska utföra.

jobs:
  analyze:

    name: analyze
    runs-on: ubuntu-latest

    strategy:
      fail-fast: false
      matrix:
        language: ['csharp']

    steps:
    - name: Checkout repository
      uses: actions/checkout@v3
      with:
        fetch-depth: 2

    - run: git checkout HEAD^2
      if: ${{ github.event_name == 'pull_request' }}

    - name: Initialize CodeQL
      uses: github/codeql-action/init@v1
      with:
        languages: ${{ matrix.language }}

    - name: Autobuild
      uses: github/codeql-action/autobuild@v1

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v1

Det finns ett enda jobb med namnet analyze som körs på den senaste versionen av Ubuntu.
Definierar strategy C# som language.
GitHub-åtgärden github/codeql-action/init@v1 används för att initiera CodeQL.
github/codeql-action/autobuild@v1 GitHub-åtgärden skapar .NET-projektet.
github/codeql-action/analyze@v1 GitHub-åtgärden utför CodeQL-analysen.

Mer information finns i GitHub Actions: Konfigurera kodgenomsökning.

Skapa ett statusmärke för arbetsflödet

Det är vanligt att GitHub-lagringsplatser har en README.md fil i roten i lagringsplatsens katalog. På samma sätt är det bra att rapportera den senaste statusen för olika arbetsflöden. Alla arbetsflöden kan generera ett statusmärke som är visuellt tilltalande i README.md-filen . Så här lägger du till statusikonen för arbetsflödet:

Från GitHub-lagringsplatsen väljer du navigeringsalternativet Åtgärder .
Alla arbetsflöden för lagringsplatser visas till vänster, välj önskat arbetsflöde och ellipsknappen (...).
- Ellipsknappen (...) expanderar menyalternativen för det valda arbetsflödet.
Välj menyalternativet Skapa statusikon .
Välj knappen Kopiera statusikonen Markdown.
Klistra in Markdown i filen README.md , spara filen, checka in och push-överföra ändringarna.