CodeQL filter-sarif路径忽略在主分支失效问题咨询

问题描述 #

我在CodeQL的yml配置文件中使用filter-sarif忽略特定路径，该配置在最初添加忽略路径的功能分支中运行正常，但将变更合并到master分支后，指定路径未被忽略。

已观察现象 #

• master分支中存在codeql.yml文件，且忽略路径配置正确；
• 在功能分支运行filter-sarif符合预期，SARIF输出中指定路径已被忽略；
• 合并到master后，相同路径未被忽略；
• 从master创建新分支并运行filter-sarif，路径忽略功能正常。

已执行排查步骤 #

• 确保所有分支使用同一版本的filter-sarif；
• 在master分支手动运行filter-sarif，无报错或警告。

咨询问题 #

1. 为何filter-sarif路径忽略在功能分支有效，合并到master后失效？
2. filter-sarif在分支切换时是否存在已知问题？
3. 还可采取哪些额外步骤排查该问题？

解答 #

1. 可能的失效原因 #

• GitHub Actions缓存复用：master分支的CI可能复用了未包含新过滤规则的旧缓存（比如CodeQL数据库、SARIF文件缓存），而功能分支首次运行无旧缓存，规则正常生效。
• CI工作流执行差异：master分支的工作流触发逻辑或前置步骤可能不同，比如合并提交触发的工作流未重新生成SARIF文件，直接使用合并前的旧文件，导致过滤步骤未实际作用于新文件。
• 配置优先级冲突：master分支可能存在其他CodeQL配置文件（如.codeqlconfig）或仓库级CodeQL设置，覆盖了codeql.yml中的路径忽略规则。

2. 分支切换相关的已知问题 #

filter-sarif本身没有分支切换相关的已知问题，但GitHub Actions的环境差异可能导致表现不一致：

• 缓存键设置不当：若缓存键未包含分支名或codeql.yml的哈希值，master分支可能复用其他分支的旧缓存，导致新配置不生效。
• 合并提交上下文差异：合并到master时的工作流上下文（如提交哈希、分支引用）可能影响步骤执行，比如部分逻辑仅在非合并提交时执行过滤操作。

3. 额外排查步骤 #

• 检查并调整缓存配置：查看CodeQL步骤的缓存设置，将缓存键修改为包含codeql.yml的哈希值（例如hashFiles('.github/workflows/codeql.yml')），确保配置变更后缓存自动失效。
• 对比工作流日志：逐步骤对比功能分支与master分支的CI运行日志，重点确认filter-sarif的输入参数、SARIF文件来源是否一致，以及SARIF文件生成步骤是否重新执行。
• 本地验证SARIF过滤效果：从master分支的CI运行中下载生成的SARIF文件，本地运行filter-sarif命令，验证过滤结果是否符合预期，排查是CI执行问题还是配置本身的问题。
• 检查仓库级CodeQL设置：进入仓库的Settings > Code security and analysis > CodeQL analysis页面，查看是否存在仓库级的路径排除或规则设置，覆盖了工作流中的配置。
• 添加调试日志：在filter-sarif步骤前后添加日志命令，输出当前工作目录、codeql.yml内容、SARIF文件路径及部分内容，确认所有参数和文件状态符合预期。

内容的提问来源于stack exchange，提问作者Raghav Goyal