Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.
Mit der code scanning kannst du in deinem Code Probleme suchen, selektieren und deren Behandlung priorisieren. Code scanning verhindert auch, dass Entwickler*innen neue Probleme schaffen. Sie können Scans für bestimmte Tage und Uhrzeiten planen oder Scans auslösen, wenn ein bestimmtes Ereignis im Repository auftritt, z. B. ein Pushvorgang.
Wenn die code scanning ein mögliches Sicherheitsrisiko oder einen Fehler in deinem Code findet, zeigt GitHub eine Warnung im Repository an. Nachdem du den Code korrigiert hast, der die Meldung ausgelöst hat, schließt GitHub die Meldung. Weitere Informationen finden Sie unter Problemlösung für Warnungen der Codeüberprüfung.
GitHub Copilot Autofix schlägt Korrekturen für Warnungen von code scanning-Analyse vor, wodurch Entwickelnde Sicherheitsrisiken mit weniger Aufwand verhindern und reduzieren können. Weitere Informationen finden Sie unter Responsible use of Copilot Autofix for code scanning.
Um die Ergebnisse der code scanning in deinen Repositorys oder deiner Organisation zu überwachen, kannst du Webhooks und die code scanning-API verwenden. Informationen zu den Webhooks für die code scanning finden Sie unter Webhook-Ereignisse und -Nutzlasten. Weitere Informationen zu API-Endpunkten finden Sie unter REST-API-Endpunkte für die Codeüberprüfung.
Informationen zu den ersten Schritten mit der code scanning finden Sie unter Configuring default setup for code scanning.
Informationen zur Abrechnung für die code scanning
Die Code scanning verwendet GitHub Actions, und jede Ausführung eines code scanning-Workflows verbraucht Minuten für GitHub Actions. Weitere Informationen finden Sie unter Abrechnung für GitHub Actions.
Zur Verwendung von code scanning in einem privaten Repository ist außerdem eine Lizenz für GitHub Code Security erforderlich. Weitere Informationen zum kostenlosen Testen von GitHub Advanced Security findest du unter Einrichten einer Testversion von GitHub Advanced Security.
Informationen zu Tools für die code scanning
Sie können code scanning so konfigurieren, dass das von GitHub verwaltete Produkt CodeQL oder ein Drittanbieter-Tool code scanning verwendet wird.
Informationen zur CodeQL-Analyse
CodeQL ist die von GitHub entwickelte Codeanalyse-Engine zum Automatisieren von Sicherheitsprüfungen. Du kannst deinen Code mithilfe von CodeQL analysieren und die Ergebnisse als code scanning-Warnungen anzeigen. Weitere Informationen zu CodeQL finden Sie unter Informationen zu Codescans mit CodeQL.
Informationen zu code scanning-Tools von Drittanbietern
Code scanning ist mit Code-Scan-Werkzeugen von Drittanbietern interoperabel, welche SARIF-Daten (Static Analysis Results Interchange Format) ausgeben. SARIF ist ein Open-Source-Standard. Weitere Informationen finden Sie unter SARIF-Unterstützung für die Codeüberprüfung.
Sie können Analysetools von Drittanbietern innerhalb von GitHub mithilfe von Aktionen oder innerhalb eines externen CI-Systems ausführen. Weitere Informationen findest du unter Configuring advanced setup for code scanning oder Uploading a SARIF file to GitHub.
Informationen zur Seite mit dem Toolstatus
Die Seite mit dem Toolstatus enthält nützliche Informationen zu allen Codeüberprüfungstools. Wenn die Codeüberprüfung nicht wie erwartet funktioniert, ist die Seite mit dem Toolstatus ein guter Ausgangspunkt zum Debuggen von Problemen. Weitere Informationen finden Sie unter About the tool status page for code scanning.