Примечание.
В этой статье описываются функции, доступные в версии действия CodeQL и связанного пакета CodeQL CLI в первоначальном выпуске этой версии GitHub Enterprise Server. Если ваше предприятие использует более последнюю версию действия CodeQL, ознакомьтесь с версией GitHub Enterprise Cloud этой статьи, чтобы узнать о последних функциях. Сведения об использовании последней версии см. в разделе Настройка сканирования кода для устройства.
There are several approaches you can try to reduce the build time in a code scanning analysis.
Increase the memory or cores
You can increase the memory or disk space available on your runners. If you're using CodeQL for your code scanning analysis, you can review the recommended hardware resources for CodeQL to make sure your runners meet those requirements. For more information, see Рекомендуемое оборудование для запуска CodeQL.
Use matrix builds to parallelize the analysis
To speed up analysis of workflows that involve multiple jobs, you can modify your workflow to use a matrix. For more information, see Выполнение вариантов заданий в рабочем процессе.
The default Рабочий процесс анализа CodeQL uses a matrix of languages, which causes the analysis of each language to run in parallel. However, if you're using CodeQL with advanced setup and you have specified the languages you want to analyze directly in the "Initialize CodeQL" step, analysis of each language will happen sequentially. In this configuration, you can speed up your analysis by modifying your advanced setup workflow to use a matrix. For an example, see the workflow extract in Some languages were not analyzed with CodeQL advanced setup.
Reduce the amount of code being analyzed in a single workflow
Analysis time is typically proportional to the amount of code being analyzed. If you're using CodeQL with advanced setup, you can reduce the analysis time by reducing the amount of code being analyzed at once. For example, by excluding test code, or breaking analysis into multiple workflows that analyze only a subset of your code at a time.
При использовании build-mode: autobuild или build-mode: manual, для скомпилированных языков, таких как Java, Kotlin, Go, C, C++ и C#, CodeQL анализирует весь код, созданный в ходе выполнения рабочего процесса. Чтобы ограничить объем анализируемого кода, выполняйте сборку только того кода, который требуется проанализировать, указав необходимые шаги сборки в блоке run. Можно объединить указание собственных шагов сборки с помощью фильтров paths и paths-ignore в событиях pull_request и push, чтобы рабочий процесс выполнялся только при изменении определенного кода. Дополнительные сведения см. в разделе Синтаксис рабочего процесса для GitHub Actions.
Для таких языков, как JavaScript, Python и TypeScript, которые CodeQL анализируют без компиляции исходного кода, или для скомпилированного языка с build-mode: noneиспользованием , можно задать дополнительные настройки для ограничения объёма кода для анализа. Дополнительные сведения см. в разделе Настройка расширенной настройки для сканирования кода.
If you split your CodeQL analysis into multiple workflows, we still recommend that you have at least one workflow which runs on a schedule which analyzes all of the code in your repository. Because CodeQL analyzes data flows between components, some complex security behaviors may only be detected on a complete build.
Run only during a schedule event
You may find that your analysis is slow during push or pull_request events. If so, you can set your analysis to only trigger on the schedule event. If you're using CodeQL for your code scanning analysis, you can configure this with an advanced setup workflow, but not in default setup. For more information, see Общие сведения о GitHub Actions.
Check which queries or rules the workflow runs
Another option to reduce analysis time is to run only the queries or rules that you consider critical in workflows that run on pull requests. If you use a third-party tool for code scanning, you should refer to the documentation for the tool.
In CodeQL, there are two main query suites available for each language. If you have optimized the CodeQL database build and the process is still too long, you could reduce the number of queries you run. The default query suite is run automatically: it provides the best possible compromise between quality and speed.
If you're using CodeQL with advanced setup, you may be running extra queries or query suites in addition to the default queries. Check whether the workflow defines an additional query suite or additional queries to run using the queries element. You can experiment with disabling the additional query suite or queries. For more information, see Настройка расширенной настройки для сканирования кода.