跳至主要内容

GitHub 上传结果

将 SARIF 文件上传到 GitHub 代码扫描。

谁可以使用此功能?

CodeQL 可用于以下存储库类型

此内容描述了 CodeQL CLI 的最新版本。有关此版本的更多信息,请参阅 https://github.com/github/codeql-cli-binaries/releases

要查看早期版本中此命令可用的选项的详细信息,请在终端中使用 --help 选项运行该命令。

摘要

Shell
codeql github upload-results --sarif=<file> [--github-auth-stdin] [--github-url=<url>] [--repository=<repository-name>] [--ref=<ref>] [--commit=<commit>] [--checkout-path=<path>] <options>...

描述

将 SARIF 文件上传到 GitHub 代码扫描。

请参阅:将 CodeQL 分析结果上传到 GitHub

必须设置 GitHub Apps 令牌或个人访问令牌。为确保最佳安全实践,建议设置 --github-auth-stdin 标志,并通过标准输入将令牌传递给命令。或者,可以设置 GITHUB_TOKEN 环境变量。

此令牌必须具有 security_events 范围。

选项

主要选项

-s, --sarif=<file>

[必填] 要使用的 SARIF 文件的路径。这应该是 codeql database analyze(或 codeql database interpret-results)的输出,其中 --format sarif-latest 用于上传到 github.com,或 GitHub Enterprise Server 实例的相应支持的格式标记(有关您的版本支持的 SARIF 版本,请参阅 代码扫描的 SARIF 支持)。

-r, --repository=<repository-name>

用作上传端点的 GitHub 存储库所有者和名称(例如,github/octocat)。如果省略,CLI 将尝试从检出路径自动检测此路径。

-f, --ref=<ref>

已分析的 ref 的名称。如果此 ref 是拉取请求合并提交,则使用 refs/pull/1234/mergerefs/pull/1234/head(取决于此提交是否对应于 PR 的 HEAD 或 MERGE 提交)。否则,这应该是一个分支:refs/heads/branch-name。如果省略,CLI 将尝试从检出路径的当前分支自动填充此分支(如果存在)。

-c, --commit=<commit>

已分析的提交的 SHA。如果省略,CLI 将尝试从检出路径自动检测此提交。

-p, --checkout-path=<path>

检出路径。默认为当前工作目录。

--merge

[高级] 允许指定多个 SARIF 文件,并在上传之前将这些文件合并到单个文件中。这仅推荐用于向后兼容性。对于新的分析,建议使用不同的类别上传两个单独的 SARIF 文件。此选项仅与使用 SARIF 版本 2.1.0 生成的 CodeQL 的 SARIF 文件结合使用(这是 CodeQL 使用的 SARIF 的默认版本)。

--no-wait-for-processing

默认情况下,CLI 将等待 GitHub 处理 SARIF 文件最多 2 分钟,如果分析结果处理过程中出现任何错误,则返回非零退出代码。您可以使用 --wait-for-processing-timeout 自定义 CLI 的等待时间,或使用 --no-wait-for-processing 禁用此功能。

--wait-for-processing-timeout=<waitForProcessingTimeout>

CLI 将等待 GitHub 处理上传的 SARIF 文件的最长时间(以秒为单位)。默认为 120 秒(2 分钟)。此选项仅在启用 --wait-for-processing 时有效。

--format=<fmt>

选择输出格式。选项包括

text (默认):打印用于跟踪 SARIF 上传状态的 URL。

json:打印 SARIF 上传 API 请求的响应正文。

另请参阅:代码扫描的 REST API 端点

配置 SARIF 文件上传位置的选项。

-a, --github-auth-stdin

通过标准输入接受 GitHub Apps 令牌或个人访问令牌。

这将覆盖 GITHUB_TOKEN 环境变量。

-g, --github-url=<url>

要使用的 GitHub 实例的 URL。如果省略,CLI 将尝试从检出路径自动检测此 URL,如果无法检测,则默认为 https://github.com/

常用选项

-h, --help

显示此帮助文本。

-J=<opt>

[高级] 向运行命令的 JVM 提供选项。

(注意,包含空格的选项将无法正确处理。)

-v, --verbose

逐步增加打印的进度消息数量。

-q, --quiet

逐步减少打印的进度消息数量。

--verbosity=<level>

[高级] 显式地将详细程度级别设置为 errors、warnings、progress、progress+、progress++ 或 progress+++ 之一。覆盖 -v-q

--logdir=<dir>

[高级] 将详细日志写入给定目录中的一个或多个文件,生成的名称包含时间戳和正在运行的子命令的名称。

(要写入一个您可以完全控制其名称的日志文件,请改用 --log-to-stderr 并根据需要重定向标准错误输出。)

--common-caches=<dir>

[高级] 控制磁盘上缓存数据的存储位置,这些数据将在 CLI 的多次运行之间保留,例如下载的 QL 包和编译后的查询计划。如果未显式设置,则默认为用户主目录中名为 .codeql 的目录;如果该目录不存在,则会创建它。

v2.15.2 版本起可用。