查看代码扫描日志

您可以在 GitHub 上查看代码扫描分析期间生成的输出。

谁可以使用此功能？

拥有**读取**访问权限的用户

本文内容

关于您的代码扫描配置

您可以使用各种工具来配置存储库中的代码扫描。有关更多信息，请参阅“配置代码扫描的默认设置”和“配置代码扫描的高级设置”。

您可以使用的日志和诊断信息取决于您在存储库中用于代码扫描的方法。您可以通过使用警报列表中的**工具**下拉菜单，在存储库的**安全**选项卡中检查您正在使用的代码扫描类型。有关更多信息，请参阅“评估存储库的代码扫描警报”。

关于分析和诊断信息

您可以在 GitHub 上查看使用 CodeQL 分析运行的代码扫描的分析和诊断信息。

分析信息显示在警报列表顶部的标题中，用于最近的分析。有关更多信息，请参阅“评估存储库的代码扫描警报”。

诊断信息显示在 Actions 工作流程日志中，包括汇总指标和提取器诊断信息。有关在 GitHub 上访问代码扫描日志的信息，请参阅下面“查看代码扫描的日志输出”。

如果您在 GitHub 之外使用 CodeQL CLI，则会在数据库分析期间生成的输出中看到诊断信息。此信息也包含在您使用代码扫描结果上传到 GitHub 的 SARIF 结果文件中。

有关 CodeQL CLI 的信息，请参阅“使用 CodeQL 查询分析您的代码”。

关于汇总指标

汇总指标包括

  • 代码库中的代码行数（用作基线），在创建和提取 CodeQL 数据库之前
  • 从代码中提取的 CodeQL 数据库中的代码行数，包括外部库和自动生成的 文件
  • CodeQL 数据库中的代码行数，不包括自动生成的 文件和外部库

关于 CodeQL 源代码提取诊断信息

提取器诊断信息仅涵盖分析期间看到的 文件，指标包括

  • 成功分析的文件数
  • 在数据库创建期间生成提取器错误的文件数
  • 在数据库创建期间生成提取器警告的文件数

您可以通过启用调试日志记录查看有关在数据库创建期间发生的 CodeQL 提取器错误和警告的更详细信息。有关更多信息，请参阅“日志不够详细”。

查看代码扫描的日志输出

此部分适用于使用 GitHub Actions（CodeQL 或第三方）运行的代码扫描。

为您的存储库配置代码扫描后，您可以观察 Actions 运行时的输出。

  1. 在您的存储库名称下，单击 Actions.

    Screenshot of the tabs for the "github/docs" repository. The "Actions" tab is highlighted with an orange outline.

    您将看到一个列表，其中包含运行代码扫描工作流程的条目。条目的文本是您为提交消息提供的标题。

    Screenshot of the "All workflows" page. In the list of workflow runs is a run labeled "Create .github/workflows/codeql.yml."

  2. 单击代码扫描工作流程的条目。

    注意

    如果您正在查找由启用默认设置触发的 CodeQL 工作流程运行，则条目的文本为“CodeQL”。

  3. 单击左侧的作业名称。例如，**分析（语言）**。

    Screenshot of the log output for the "Analyze (go)" job. In the left sidebar, under the "Jobs" heading, "Analyze (go)" is listed.

  4. 查看这些工作流程中 Actions 的日志输出。

  5. 或者，要查看有关触发工作流程运行的提交的更多详细信息，请单击简短的提交哈希值。简短的提交哈希值是提交作者用户名后紧跟的 7 个小写字符。

  6. 所有作业完成后，您可以查看已识别的任何代码扫描警报的详细信息。有关更多信息，请参阅“评估存储库的代码扫描警报”。