23、代码与部署安全保障全攻略

代码与部署安全保障全攻略

1. 代码扫描入门

要开启代码扫描，可前往设置界面，选择“安全与分析”|“代码扫描”|“设置”，或者通过“安全”|“代码扫描警报”进入。这两种方式都会带你到 /security/code-scanning/setup 页面，此页面会展示一系列代码扫描选项。页面顶部能看到原生的 GitHub 代码扫描工具——CodeQL 分析。GitHub 会分析你的仓库，同时还会展示市场上适合你仓库所使用语言的其他工具，像 42Crunch、Anchore、CxSAST、Veracode 等。这里我们主要关注 CodeQL，不过其他工具的集成方式与之相同。若点击“设置此工作流”，GitHub 会为你创建一个工作流。

工作流模板具备 push 、 pull_request 和 schedule 触发器。 schedule 触发器或许会让你感到意外，其原因在于可能会有新规则能检测出你代码库中此前未被识别的漏洞，所以定期运行构建是个不错的做法。该触发器每周会在随机的一天和时间运行一次，毕竟 GitHub 不希望所有代码扫描都在同一时间进行。你可以根据自身需求调整调度时间，示例如下：

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]
  schedule:
    - cron: '42 16 * * 2'

工作流需要对安全事件具备写入权限