23、代码与部署安全保障指南

代码与部署安全保障指南

1. 代码扫描入门

要开始进行代码扫描，可前往设置中的“安全与分析”，选择“代码扫描”|“设置”或者“安全”|“代码扫描警报”，这两种方式都会带你到 /security/code-scanning/setup 页面，该页面会展示一系列代码扫描选项。页面顶部能看到原生的 GitHub 代码扫描工具——CodeQL 分析。GitHub 会分析你的仓库，并展示市场上适用于仓库中检测到的语言的其他工具，如 42Crunch、Anchore、CxSAST、Veracode 等。本文将重点介绍 CodeQL，不过其他工具的集成方式类似。若点击“设置此工作流”，GitHub 会为你创建一个工作流。

若已设置代码扫描，可在结果页面点击“添加更多扫描工具”来添加额外工具。

工作流模板有 push、pull_request 和 schedule 触发器。schedule 触发器可能会让人意外，其原因是可能有新规则能检测出之前未识别的代码库漏洞，所以定期运行构建是个好主意。该触发器每周随机一天的随机时间运行一次，GitHub 不希望所有代码扫描同时进行。你可按需调整时间表，示例如下：

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]
  schedule:
    - cron: '42 16 * * 2'

工作流需要对安全事件有写入权限，示例代码如下：

job