Codeüberprüfung für Pull Requests

Verstehen, wie CodeQL Schwachstellen in Pull Requests in Ihren Organisationen finden und dabei helfen, sie zu verhindern.

Wer kann dieses Feature verwenden?

Zugriff erfordert:

  • Organisationsansichten: Schreibzugriff auf Repositorys in der Organisation
  • Enterprise-Ansichten: Organisationsbesitzerinnen und Sicherheitsmanagerinnen

Organisationen im Besitz eines GitHub Team-Kontos mit GitHub Code Security oder im Besitz eines GitHub Enterprise-Kontos mit GitHub Code Security

In diesem Artikel

Overview

Der Bericht „Codeüberprüfung bei Pullanforderungen“ in der Sicherheitsübersicht hilft Ihnen zu verstehen, wie gut code scanning Sicherheitsrisiken bei Pullanforderungen in Ihrer Organisation oder in Organisationen in Ihrem Unternehmen verhindert. Sie können das gesamte Dataset anzeigen oder nach bestimmten Kriterien filtern, sodass Repositorys leicht identifiziert werden können, in denen Sie möglicherweise Maßnahmen ergreifen müssen, um Sicherheitsrisiken zu finden und zu reduzieren.

Verfügbare Metriken

CodeQL Metriken

Die Übersicht zeigt ihnen eine Zusammenfassung der Anzahl von Sicherheitsrisiken, die von CodeQL Pullanforderungen abgefangen wurden. Die Metriken werden nur für Pull Requests nachverfolgt, die in die Standardzweige von Repositories in deinen Organisationen gemergt wurden.

Sie können auch detailliertere Metriken finden, z. B. wie viele Warnungen mit und ohne wurden, wie viele nicht aufgelöst und zusammengeführt wurden und wie viele als falsch positiv oder Risiko akzeptiert wurden.

Sie können auch Folgendes anzeigen:

  • Die Regeln, die die meisten Warnungen verursachen, und wie vielen Warnungen jede Regel zugeordnet ist.

  • Die Anzahl der Warnungen, die ohne Auflösung in den Standardbranch integriert wurden, und die Anzahl der Warnungen, die als akzeptables Risiko abgelehnt wurden.

Hinweis

Metriken für Copilot Autofix werden weggelassen, weil Copilot Autofix nur auf GitHub Cloudplattformen verfügbar ist.

Sichtbarkeit

Sie können Metriken für ein Repository anzeigen code scanning, wenn Sie Folgendes haben:

  • Die admin Rolle des Repositorys
  • Eine benutzerdefinierte Repository-Rolle mit den feingranularen Berechtigungen "View code scanning alerts" für das Repository.
  • Zugriff auf Warnungen für das Repository

Nächste Schritte

Informationen zum Anzeigen des Berichts „Codescanning für Pull Requests“ finden Sie unter Anzeigen von Code-Scanning-Metriken für Pull Requests.