Azure DevOps中CodeQL环境变量未传递至Xcode任务的问题求助

问题背景 #

在Azure DevOps搭建Swift代码库的构建流水线时，采用CodeQL间接追踪模式（拆分初始化、构建、收尾步骤）进行扫描，但执行codeql database finalize时触发错误：

CodeQL detected code written in Swift but could not process any of it. This can occur if the specified build commands failed to compile or process any code.

• Confirm that there is some source code for the specified language in the project.
• For codebases written in Go, JavaScript, TypeScript, and Python, do not specify an explicit --command.
• For other languages, the --command must specify a "clean" build which compiles all the source code files without reusing existing build artefacts.

但直接使用codeql database create绑定构建命令时，能成功生成数据库与构建产物，说明构建流程和CodeQL本身无问题，核心原因是构建步骤未继承CodeQL初始化时设置的追踪环境变量。

流水线核心结构为：

1. 执行CodeQL初始化并启动追踪的模板/脚本
2. 通过Xcode@5任务或xcodebuild脚本构建代码
3. 执行CodeQL收尾模板/脚本

核心原因 #

Azure DevOps的每个任务（含Script任务）都是独立进程，默认不共享环境变量。start-tracing.sh设置的变量仅在当前Script任务进程内生效，后续构建任务无法继承，导致CodeQL无法追踪编译行为。

解决方案 #

方案1：合并所有步骤到同一个Script任务 #

将CodeQL初始化、启动追踪、构建、收尾命令放在同一个Script步骤中，共享同一进程环境，确保变量正常传递：

steps:
- checkout: MyApp
  clean: true
  path: s/MyApp

- script: |
    # 初始化CodeQL并启动追踪
    codeql database init --source-root /Users/Agent2/agent/_work/54/s/MyApp --language swift --begin-tracing codeql-db --overwrite --db-cluster
    # 用source加载追踪环境变量到当前shell
    source /Users/Agent2/agent/_work/54/codeql-db/temp/tracingEnvironment/start-tracing.sh
    # 执行构建
    xcodebuild -sdk iphoneos17.2 -configuration Debug -workspace **/MyApp/MyApp.xcworkspace -scheme MyApp build -verbose CODE_SIGNING_ALLOWED=NO
    # 收尾数据库
    codeql database finalize codeql-db/swift
  displayName: 'CodeQL Tracing + Build + Finalize'

注意：必须使用source命令执行start-tracing.sh，而非直接运行脚本，才能将变量注入当前shell环境。

方案2：通过流水线变量传递环境变量 #

若需拆分步骤，可在执行start-tracing.sh后，将关键环境变量导出为Azure DevOps流水线变量，供后续任务继承：

1. 修改初始化步骤，捕获并导出变量：

- script: |
    codeql database init --source-root /Users/Agent2/agent/_work/54/s/MyApp --language swift --begin-tracing codeql-db --overwrite --db-cluster
    # 加载追踪变量并导出为流水线变量
    export $(/Users/Agent2/agent/_work/54/codeql-db/temp/tracingEnvironment/start-tracing.sh | grep -E '^SEMMLE_' | xargs)
    echo "##vso[task.setvariable variable=SEMMLE_PRELOAD_libtrace]$SEMMLE_PRELOAD_libtrace"
    echo "##vso[task.setvariable variable=SEMMLE_DIST]$SEMMLE_DIST"
    # 其他SEMMLE_前缀变量需同理导出
  displayName: 'Start Tracing and Export Variables'

2. 后续构建步骤会自动继承这些流水线变量，确保CodeQL追踪正常。

方案3：使用CodeQL官方任务 #

Azure DevOps提供官方CodeQL任务，可自动处理环境变量传递与追踪逻辑，无需手动管理脚本：

steps:
- checkout: MyApp
  clean: true
  path: s/MyApp

- task: CodeQL3000Init@0
  inputs:
    languages: 'swift'

- task: Xcode@5
  inputs:
    actions: 'build'
    scheme: 'MyApp'
    sdk: 'iphoneos17.2'
    configuration: 'Debug'
    xcWorkspacePath: '**/MyApp.xcworkspace'
    xcodeVersion: 'default'
    useXcpretty: true
    args: "-verbose CODE_SIGNING_ALLOWED=NO"

- task: CodeQL3000Finalize@0

额外注意事项 #

• 确保执行Clean Build：通过checkout步骤的clean: true清理旧构建产物，避免Xcode跳过编译导致CodeQL无代码可追踪。
• 验证变量传递：在构建步骤中添加printenv | grep SEMMLE_命令，确认追踪变量是否存在，排查传递问题。

内容的提问来源于stack exchange，提问作者Ben