Editar as definições da configuração padrão

Sobre a edição das definições da configuração padrão

Depois de executar uma análise inicial do código com a configuração padrão, talvez seja necessário fazer alterações na configuração para atender melhor às necessidades. Para configurações existentes de configuração padrão, você pode editar:

• Quais linguagens a configuração padrão analisará
• O conjunto de consultas é executado durante a análise. Para saber mais sobre os pacotes de consultas disponíveis, confira Conjuntos de consultas CodeQL.
• Os modelos de risco (versão prévia pública) a serem usados para análise. Sua escolha de modelo de risco determina quais fontes de dados afetados são tratadas como um risco para seu aplicativo. Durante o versão prévia pública, os modelos de risco são compatíveis apenas com a análise para Java/Kotlin e C#. Para obter mais informações sobre modelos de risco, consulte Como incluir fontes locais de dados afetados na configuração padrão.

Se sua base de código depender de uma biblioteca ou estrutura que não seja reconhecida pelas bibliotecas padrão incluídas com o CodeQL, você também poderá estender a cobertura do CodeQL na configuração padrão usando pacotes de modelos do CodeQL. Para obter mais informações, consulte Estendendo a cobertura do CodeQL com pacotes de modelos do CodeQL na configuração padrão.

Se você precisar alterar quaisquer outros aspectos da configuração code scanning, considere configurar a instalação avançada. Para saber mais, confira Como definir a configuração avançada para verificação de código.

Personalizar a definição existente da configuração padrão

1. Em GitHub, acesse a página principal do repositório.

2. Abaixo do nome do repositório, clique em Configurações. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.

   

3. Na seção "Segurança" da barra lateral, clique em Advanced Security.

4. Na linha "CodeQL analysis" da seção "Code Security", selecione e clique em View CodeQL configuration.

5. Na janela de configuração padrão do "CodeQL", clique em Editar.

6. Opcionalmente, na seção "Linguagens", selecione ou desmarque as linguagens para análise.

7. Opcionalmente, na linha “Query suite” da seção “Scan settings”, selecione um conjunto diferente de consultas para executar em seu código.

8. Opcionalmente, para usar executores rotulados, na seção "Runner type" da caixa de diálogo modal "CodeQL default configuration", selecione Standard GitHub runner para abrir um menu suspenso e selecione Labeled runner. Em seguida, ao lado de "Runner label", insira o rótulo de um executor auto-hospedado ou hospedado pelo GitHub. Para saber mais, confira Como definir a configuração padrão da verificação de código.

9. (Versão prévia pública) Opcionalmente, na linha "Modelo de risco" da seção "Configurações de scan", selecione Fontes remotas e locais. Essa opção só está disponível para repositórios com código em uma linguagem com suporte: Java/Kotlin e C#.

10. Para atualizar sua configuração, bem como executar uma análise inicial do seu código com a nova configuração, clique em Salvar alterações. Todas as análises futuras usarão sua nova configuração.

Definindo as severidades de alerta que causam uma falha de verificação para uma solicitação de pull

Você pode usar conjuntos de regras para evitar que pull requests sejam mesclados quando uma das seguintes condições for atendida:

• Uma ferramenta necessária encontrou um alerta do code scanning de uma gravidade definida em um conjunto de regras.

• Uma análise de ferramenta necessária do code scanning ainda está em andamento.

• Uma ferramenta necessária do code scanning não está configurada para o repositório.

Para saber mais, confira Definir proteção contra mesclagem de verificação de código. Para obter informações gerais sobre conjuntos de regras, confira Sobre os conjuntos de regras.

Como incluir fontes locais de dados afetados na configuração padrão

Se sua base de código considera apenas solicitações de rede remota como fontes potenciais de dados afetados, recomendamos usar o modelo de risco padrão. Se sua base de código considera outras fontes além de solicitações de rede que potencialmente contêm dados afetados, você poderá usar modelos de risco para adicionar essas fontes adicionais à sua análise CodeQL. Durante a versão prévia pública, você pode adicionar fontes locais (por exemplo: argumentos da linha de comando, variáveis de ambiente, sistemas de arquivos e bancos de dados) que sua base de código pode considerar como fontes adicionais de dados afetados.

Você pode editar o modelo de risco usado em uma configuração de instalação padrão. Para obter mais informações, consulte Personalizar a definição existente da configuração padrão.

Estendendo a cobertura do CodeQL com pacotes de modelos do CodeQL na configuração padrão

Se a sua empresa estiver hospedada no GitHub.com e você usar estruturas e bibliotecas que não são reconhecidas pelas bibliotecas padrão incluídas no CodeQL, você poderá modelar as dependências e estender a análise da code scanning. Para obter mais informações, consulte Linguagens e estruturas com suporte na documentação do CodeQL.

Para a configuração padrão, você precisa definir os modelos de suas dependências adicionais em um pacote de modelos do CodeQL. Você pode estender a cobertura na configuração padrão com pacotes de modelos do CodeQL para repositórios individuais, ou em escala para todos os repositórios em uma organização.

Para obter mais informações sobre os pacotes de modelos do CodeQL e escrever os seus próprios, confira Usar o editor de modelos do CodeQL.

Estender a cobertura de um repositório

1. No diretório .github/codeql/extensions do repositório, copie o diretório do pacote de modelos que deve incluir um arquivo codeql-pack.yml e quaisquer arquivos .yml contendo modelos adicionais para as bibliotecas ou estruturas que você deseja incluir em sua análise.
2. Esses pacotes de modelos serão automaticamente detectados e usados na sua análise de code scanning.
3. Se você alterar posteriormente sua configuração para usar a configuração avançada, qualquer pacote de modelos no diretório .github/codeql/extensions ainda será reconhecido e usado.

Estender a cobertura para todos os repositórios em uma organização

1. No canto superior direito de GitHub, selecione sua foto de perfil e clique em Your organizations.

2. No nome da sua organização, clique Configurações. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.

   

3. Na seção "Segurança" da barra lateral, clique em Advanced Security e em Configurações globais.

4. Encontre a seção de "Code scanning".

5. Ao lado de "Expandir análise do CodeQL", clique em Configurar.

6. Insira referências aos pacotes de modelos publicados que você deseja usar, uma por linha, e clique em Salvar.

   

7. Os pacotes de modelos serão detectados e usados automaticamente quando a code scanning for executada em qualquer repositório da organização com a configuração padrão habilitada.