사용자의 기존 CI 시스템으로 코드 검색 사용하기

다른 도구나 CodeQL CLI을 사용하여 코드를 분석하고, 타사 연속 통합 시스템에 결과를 GitHub에 업로드할 수 있습니다. 결과 code scanning 경고는 GitHub 내에서 생성된 경고와 함께 표시됩니다.

누가 이 기능을 사용할 수 있나요?

쓰기 권한이 있는 사용자

Code scanning은 다음 리포지토리 유형에서 사용할 수 있습니다.

  • GitHub.com에 대한 퍼블릭 리포지토리
  • GitHub Team, GitHub Enterprise Cloud 또는 GitHub Enterprise Server에 대한 조직 소유의 리포지토리로, GitHub Code Security 가 활성화되어 있습니다.

이 기사에서

          code scanning 내에서 GitHub을(를) 사용하여 실행하는 대신, 외부 CI/CD(지속적인 통합 또는 지속적인 배포) 시스템에서 코드를 분석한 다음, 결과를 GitHub에 업로드할 수 있습니다.

참고

code scanning으로 표시할 SARIF 데이터를 업로드하면 GitHub가 GitHub Code Security를 사용하도록 설정된 조직 소유 리포지토리와 GitHub.com의 퍼블릭 리포지토리가 지원됩니다. 자세한 내용은 리포지토리에 대한 보안 및 분석 설정 관리을(를) 참조하세요.

사용자의 분석 도구 설정하기

먼저 사용자가 선택한 분석 도구를 다운로드한 뒤, CI 시스템과 함께 설정해야 합니다.

          CodeQL CLI를 사용 중인 경우, 모든 CI 서버에 CodeQLcode scanning 분석을 실행하려는 번들의 전체 콘텐츠를 사용 가능하게 해야 합니다. 자세한 내용은 [AUTOTITLE](/code-security/codeql-cli/getting-started-with-the-codeql-cli/setting-up-the-codeql-cli)을(를) 참조하세요.

CI 시스템 내 서버에서 사용자의 분석 도구를 이용할 수 있도록 만들었다면 데이터를 생성할 준비가 된 것입니다.

코드 분석

분석하려는 코드를 또는 다른 분석 도구를 사용하여 CodeQL CLI 분석하기 위해, 분석하고자 하는 코드를 체크아웃하고 코드베이스 환경을 설정하여 종속성이 사용 가능한지 확인해야 합니다. 이용 가능한 코드베이스에 대한 빌드 명령은 일반적으로 CI 시스템의 구성 파일에 제공됩니다.

이후로 사용자의 코드베이스를 분석하고 결과를 생성하기 위한 단계를 완료할 수 있는데, 이러한 단계는 사용 중인 정적 분석 도구에 따라 달라집니다.

사용 CodeQL CLI중인 경우 먼저 코드에서 데이터베이스를 CodeQL 만든 다음 데이터베이스를 분석하여 SARIF 결과를 생성해야 합니다. 자세한 내용은 CodeQL 분석을 위한 코드 준비 및 CodeQL 쿼리를 사용하여 코드 분석을(를) 참조하세요.

다음을 사용하여 인증을 위한 토큰 생성 GitHub

각 CI 서버는 GitHub App 또는 personal access token을(GitHub에 결과를 업로드하기 위해) 사용해야 합니다. 예를 들어, CodeQL CLI을 사용하거나, REST API 또는 다른 방법을 사용할 수 있습니다. 액세스 토큰을 사용하거나 security_events 쓰기 권한이 있는 GitHub App을 사용해야 합니다. CI 서버가 이미 이 범위의 토큰을 사용하여 리포지토리 GitHub를 체크 아웃하는 경우 동일한 토큰을 사용할 수 있습니다. 그렇지 않으면 security_events 쓰기 권한이 있는 새 토큰을 만들고 이를 CI 시스템의 비밀 저장소에 추가해야 합니다. 자세한 내용은 GitHub 앱 만들기 정보 및 개인용 액세스 토큰 관리을 참조하세요.

결과를 업로드하는 다양한 방법에 대한 자세한 내용은 GitHub을 참조하세요.

          GitHub에 결과를 업로드합니다

코드를 분석하고 SARIF 결과를 생성한 후, GitHub를 통해 인증할 수 있는지 확인했으면, 결과를 GitHub에 업로드할 수 있습니다. 결과를 업로드하는 데 사용할 수 있는 다양한 방법에 대한 추가 정보는 GitHub에 SARIF 파일 업로드을 참조하세요.

결과를 GitHub 사용하여 업로드하는 방법에 대한 자세한 내용은 CodeQL CLI을 참조하세요.

기본적으로 code scanning 리포지토리에 대한 분석당 하나의 SARIF 결과 파일이 예상됩니다. 따라서 커밋에 대한 두 번째 SARIF 결과 파일을 업로드하면 두 번째가 원래 데이터 세트를 대체하는 것으로 처리됩니다. 예를 들어, 분석 도구가 분석하는 각 언어별로 또는 사용하는 각 규칙 세트별로 서로 다른 SARIF 파일을 생성하는 경우, 하나의 분석에 대해 두 개의 다른 SARIF 파일을 업로드할 수 있습니다. 리포지토리 내 커밋에 대해 2개 이상의 결과 집합을 업로드하고 싶다면, 각 결과 집합을 하나의 고유한 집합으로 식별해야 합니다. SARIF 업로드를 위한 범주를 지정하는 방법은 분석 방법에 따라 달라집니다.