Journaux d’analyse du code

Vous pouvez afficher la sortie générée lors code scanning de l’analyse dans GitHub.

Dans cet article

Les informations de journal et de diagnostic disponibles dépendent de la méthode que vous utilisez pour code scanning dans votre référentiel. Vous pouvez vérifier le type de code scanning que vous utilisez dans l’onglet Security and quality de votre dépôt en utilisant le menu déroulant Outil de la liste des alertes. Pour accéder à cette page, consultez Évaluation des alertes d’analyse du code pour votre référentiel.

Connexion de l’utilisateur GitHub

Vous pouvez voir les informations d’analyse et de diagnostic pour code scanning exécutée à l’aide de CodeQL sur GitHub.

Métriques récapitulatives

Les métriques récapitulatives sont les suivantes :

  • Lignes de code dans le codebase (utilisée comme base de référence), avant la création et l’extraction de la base de données CodeQL
  • Lignes de code dans la base de données CodeQL extraite du code, bibliothèques externes et fichiers générés automatiquement compris
  • Lignes de code dans la base de données CodeQL, fichiers générés automatiquement et bibliothèques externes non compris

Diagnostics d’extraction de code source

Les diagnostics de l’extracteur couvrent uniquement les fichiers vus durant l’analyse. Les métriques incluent notamment les éléments suivants :

  • Nombre de fichiers analysés correctement
  • Nombre de fichiers ayant généré des erreurs d’extraction durant la création de la base de données
  • Nombre de fichiers ayant généré des avertissements d’extraction durant la création de la base de données

Vous pouvez voir des informations plus détaillées sur les erreurs et avertissements de l'extracteur CodeQL qui sont survenus lors de la création de la base de données en activant la journalisation du débogage. Consultez « Journaux insuffisamment détaillés ».

Informations de diagnostic pour les registres de paquets privés

          Code scanning Les flux de travail d’installation par défaut incluent une `Setup proxy for registries` étape. Lorsque vous examinez une exécution de flux de travail pour la configuration par défaut, vous pouvez développer cette étape pour afficher le journal correspondant. Cela contient des informations sur les configurations de Registre de packages privés disponibles pour l’analyse. En outre, le journal contient des informations de diagnostic qui peuvent vous aider à résoudre les problèmes si la configuration par défaut n'utilise pas correctement les registres de packages privés code scanning. Recherchez les messages suivants :

* Using registries_credentials input. Au moins un dépôt privé est configuré pour l’organisation. Cela inclut des configurations pour les types de registre privé qui ne sont pas pris en charge par la configuration par défaut de code scanning. Pour plus d’informations sur les types de Registre pris en charge, consultez Accès des fonctionnalités de sécurité aux registres privés.

  • Credentials loaded for the following registries:

    • Si aucune liste de configurations ne suit, aucune configuration de Registre privé prise en charge par code scanning défaut n’a été trouvée.
    • Sinon, une ligne pour chaque configuration prise en charge qui a été correctement chargée s’affiche. Par exemple, une ligne contenant Type: nuget_feed; Host: undefined; Url: https://nuget.pkg.github.com/; Username: undefined; Password: true; Token: false indique qu’une configuration de flux NuGet privée a été chargée.
    • Les informations sur la configuration dans le journal peuvent ne pas correspondre exactement à ce qui est configuré pour l’organisation dans l’interface utilisateur. Par exemple, le journal peut indiquer qu’un Password est défini, même si un Token est configuré dans l’interface utilisateur.
  •         `Proxy started on 127.0.0.1:49152` Le proxy d’authentification utilisé par défaut pour code scanning s’authentifier auprès des registres de packages privés configurés a été démarré avec succès.

  • Après cela, il peut y avoir des messages sur les résultats des tests de connexion qui tentent d’atteindre les registres de packages privés configurés via le proxy d’authentification. Il s'agit d'un processus basé sur les meilleurs efforts. Si ces vérifications ne réussissent pas pour certains registres, cela ne signifie pas nécessairement que les configurations pertinentes ne fonctionnent pas. Toutefois, si vous constatez que code scanning la configuration par défaut ne parvient pas à accéder aux dépendances dans les registres privés pendant l’analyse, cela peut fournir des informations pour vous aider à résoudre le problème.

Si la sortie de l’étape Setup proxy for registries est comme prévu, mais que code scanning le programme d’installation par défaut ne parvient pas à accéder aux dépendances dans les registres privés, vous pouvez obtenir des informations de dépannage supplémentaires. Consultez « Journaux insuffisamment détaillés ».

Pour plus d'informations sur la configuration par défaut de l'accès aux registres privés, consultez Accès des fonctionnalités de sécurité aux registres privés.

Journaux de bord pour CodeQL CLI

Si vous utilisez CodeQL CLI en dehors de GitHub, vous verrez des informations de diagnostic dans le résultat généré lors de l'analyse de la base de données. Ces informations sont également incluses dans le fichier de résultats SARIF.

Journaux d’activité VS Code

Les messages de progression et d’erreur s’affichent sous forme de notifications dans le coin inférieur droit de l’espace Visual Studio Code de travail. Ces notifications renvoient vers des journaux d’activité et des messages d’erreur plus détaillés, dans la fenêtre « Output ».

Vous pouvez accéder à des journaux distincts pour l’extension, le serveur de langage, le serveur de requête CodeQL ou les tests. Le journal du serveur de langue contient des logs de débogage plus avancés pour CodeQL les mainteneurs de langue. Vous ne devriez en avoir besoin que pour fournir des détails dans un rapport de bogue.

Pour accéder à ces journaux de bord, consultez Accès aux journaux d’activité dans CodeQLVisual Studio Code.