Editar la configuración predeterminada

Después de ejecutar un análisis inicial del código con la configuración predeterminada, puede realizar cambios en la configuración para satisfacer mejor sus necesidades. Consulte Acerca de los tipos de configuración para el examen de código.

Personalización de la configuración predeterminada existente

1. En GitHub, navegue hasta la página principal del repositorio.

2. Debajo del nombre del repositorio, haz clic en Settings. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

   

3. En la sección "Security" de la barra lateral, haz clic en Code security and analysis.

4. En la fila "CodeQL análisis" de la sección "Code scanning", seleccione y haga clic en Ver CodeQL configuración.

5. En la ventana "CodeQL configuración predeterminada", haga clic en Editar.

6. Opcionalmente, en la sección "Idiomas", selecciona o anula la selección de idiomas para el análisis.

7. Opcionalmente, en la fila “Conjunto de consultas” de la sección “Configuración de análisis”, seleccione otro conjunto de consultas para ejecutarlas en tu código.

8. (beta) Opcionalmente, en la fila "Modelo de amenazas" de la sección "Configuración del examen", seleccione Orígenes remotos y locales. Esta opción solo está disponible para repositorios con código en un idioma admitido: Java/Kotlin y C#.

9. Para actualizar la configuración, así como ejecutar un análisis inicial del código con la nueva configuración, haz clic en Guardar cambios. Todos los análisis futuros usarán la nueva configuración.

Definición de las gravedades de alerta que causan un fallo en la verificación de un pull request

Puede usar conjuntos de reglas para evitar que las solicitudes de incorporación de cambios se combinen cuando se cumple una de las condiciones siguientes:

• Una herramienta necesaria encuentra una alerta code scanning con una gravedad definida en el conjunto de reglas.
• El análisis de una herramienta necesaria todavía está en curso.
• No se ha configurado una herramienta necesaria para el repositorio.

Para obtener más información, vea Establecimiento de la protección contra la fusión de análisis de códigos. Para obtener información más general sobre los conjuntos de reglas, consulta Acerca de los conjuntos de reglas.

Inclusión de orígenes locales de datos contaminados en la configuración por defecto

Si el código base solo considera que las solicitudes de red remota son posibles orígenes de datos contaminados, se recomienda usar el modelo de riesgos predeterminado. Si el código base tiene en cuenta los orígenes que no sean las solicitudes de red para contener datos potencialmente dañados, puede usar modelos de amenazas para agregar estos orígenes adicionales al CodeQL análisis. Durante el beta, puede agregar orígenes locales (por ejemplo: argumentos de la línea de comandos, variables de entorno, sistemas de archivos y bases de datos) que el código base podría considerar como orígenes adicionales de datos contaminados.

Puede editar el modelo de riesgos utilizado en una configuración de instalación predeterminada. Para obtener más información, consulta Personalización de la configuración predeterminada existente.

Extender la cobertura de CodeQL con paquetes de modelos de CodeQL en la configuración predeterminada

Si usa marcos y bibliotecas que no reconocen las bibliotecas estándar incluidas con CodeQL, puede modelar las dependencias y ampliar el code scanning análisis. Para obtener más información, vea Lenguajes y marcos admitidos en la documentación de CodeQL.

Para la configuración predeterminada, debe definir los modelos de sus dependencias adicionales en los paquetes de modelos CodeQL. Puede ampliar la cobertura en la configuración predeterminada con CodeQL paquetes de modelos para repositorios individuales o a escala para todos los repositorios de una organización.

Para obtener más información sobre los paquetes de modelos y cómo escribir los suyos, consulte Uso del editor de modelos de CodeQL.

Extensión de la cobertura de un repositorio

1. En el directorio .github/codeql/extensions del repositorio, copie el directorio del paquete de modelos que debe incluir un archivo codeql-pack.yml y los archivos .yml que contengan modelos adicionales para las bibliotecas o los marcos que desee incluir en el análisis.
2. En el code scanning análisis, los paquetes de modelos se detectarán y usarán automáticamente.
3. Si más adelante cambia la configuración para usar la avanzada, los paquetes de modelos del directorio .github/codeql/extensions seguirán siendo reconocidos y usados.

Extensión de la cobertura para todos los repositorios de una organización

1. En la esquina superior derecha de GitHub, haz clic en la foto del perfil y luego en Your organizations.

2. Debajo del nombre de la organización, haz clic en Settings. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

   

3. Haga clic en Code security and analysis.

4. Busque la sección "Code scanning".

5. Junto a "Expandir CodeQL análisis", haga clic en Configurar.

6. Escriba referencias a los paquetes de modelos publicados que desea usar, uno por línea y, a continuación, haga clic en Guardar.

   

7. Los paquetes de modelos se detectarán y usarán automáticamente cuando code scanning se ejecute en cualquier repositorio de la organización con la configuración predeterminada habilitada.

Personalización adicional

Si necesita cambiar cualquier otro aspecto de la code scanning configuración, considere la posibilidad de configurar la configuración avanzada. Consulte Establecimiento de la configuración avanzada para el examen del código.