Запросы go для анализа CodeQL

Изучите запросы, которые CodeQL используются для анализа кода, написанного в Go (Golang) при выборе default security-extended или наборе запросов.

Кто может использовать эту функцию?

Code scanning доступен для всех общедоступных репозиториев на GitHub.com. Чтобы использовать code scanning в частном репозитории, принадлежащем организации, необходима лицензия на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

CodeQL содержит множество запросов для анализа кода Go. Все запросы в наборе default запросов выполняются по умолчанию. Если вы решили использовать security-extended набор запросов, выполняются дополнительные запросы. Дополнительные сведения см. в разделе Наборы запросов CodeQL.

Встроенные запросы для анализа Go

В этой таблице перечислены запросы, доступные в последнем выпуске действия CodeQL и CodeQL CLI. Дополнительные сведения см. в разделе CodeQL журналов изменений на сайте документации CodeQL документации.

Note

Автофикс GitHub для code scanning находится в бета-версии. Функциональные возможности и документация могут быть изменены. На этом этапе функция ограничена оповещениями, определенными CodeQL для частных и внутренних репозиториев. Если у вас есть корпоративная учетная запись и используется GitHub Advanced Security, у вашей организации есть доступ к бета-версии.

Имя запросаСвязанные CWEsПо умолчанию.РасширенноеАвтофикс
Произвольный доступ к файлам во время извлечения архива (Zip Slip)022
Произвольное запись файла, извлекающее архив, содержащий символьные ссылки022
Проверка неправильного перенаправления601
Ведение журнала конфиденциальной информации с четким текстом312, 315, 359
Команда, созданная из управляемых пользователем источников078
Запрос базы данных, созданный из управляемых пользователем источников089
Отключенная проверка сертификата TLS295
Внедрение содержимого электронной почты640
Неполное регулярное выражение для имен узлов20
Неполная проверка схемы URL-адресов020
Неправильное преобразование между целыми типами190, 681
Раскрытие информации с помощью трассировки стека209, 497
Небезопасная конфигурация TLS327
Отсутствует проверка подписи JWT347
Отсутствует привязка регулярного выражения20
Открытие перенаправления URL-адресов601
Потенциально небезопасный кавык078, 089, 094
Отражение межстранитовых сценариев079, 116
Вычисление размера для выделения может переполнение190
Выделение памяти с чрезмерным размером770
Подозрительные символы в регулярном выражении20
Неконтролируемые данные, используемые в сетевом запросе918
Неконтролируемые данные, используемые в выражении пути022, 023, 036, 073, 099
Использование слабого криптографического ключа326
Использование константного state значения в URL-адресе OAuth 2.0352
Использование небезопасной реализации HostKeyCallback322
Использование недостаточной случайности в качестве ключа криптографического алгоритма338
Внедрение XPath643
Жестко закодированные учетные данные259, 321, 798
Записи журнала, созданные из ввода пользователем117