GitHub Actions 查询 CodeQL 分析

查看当你选择 security-extended 或 CodeQL 查询套件时，default 用于分析在 GitHub Actions 工作流文件中编写的代码的查询。

谁可以使用此功能？

CodeQL 可用于以下存储库类型：

CodeQL 包括许多用于分析工作流的 GitHub Actions 查询。 默认情况下，default 查询套件中的所有查询都会运行。 如果选择使用 security-extended 查询套件，则会运行其他查询。 有关详细信息，请参阅“CodeQL 查询套件”。

用于 GitHub Actions 分析的内置查询

此表列出了 CodeQL 操作和 CodeQL CLI 的最新版本中可用的查询。 有关详细信息，请参阅CodeQL文档站点中的CodeQL更改日志。

查询名称相关的 CWE默认延期Copilot Autofix
工件中毒829
通过缓存不受信任的文件导致缓存中毒349
通过代码注入缓存中毒349, 094
通过执行不受信任的代码导致缓存中毒349
在特权上下文中签出不受信任的代码829
在特权上下文中签出不受信任的代码829
代码注入094、095、116
从用户控制的来源生成的环境变量077, 020
机密暴露过多312
访问控制不当285
从用户控制的来源生成的 PATH 环境变量077, 020
在 GitHub Actions 工件中存储敏感信息312
未屏蔽的机密暴露312
不受信任的签出 TOCTOU367
不受信任的签出 TOCTOU367
使用已知易受攻击的操作1395
工作流不包含权限275
工件中毒829
在非特权环境中检出不受信任的代码829
代码注入094、095、116
从用户控制的来源生成的环境变量077, 020
从用户控制的来源生成的 PATH 环境变量077, 020
工作流或复合操作中非不可变操作的未固定标记829