GitHub Advanced Security未识别C#代码硬编码密码的问题咨询

是的，你需要在工作流文件中添加明确的Code Scanning检测步骤，同时还要检查几个关键配置，才能让GitHub Advanced Security的SAST能力生效。以下是具体操作和原因：

1. 必须添加Code Scanning工作流 #

GitHub Advanced Security的CodeQL扫描不会自动运行，需要手动配置工作流触发扫描。在仓库的.github/workflows目录下创建一个工作流文件（比如code-scanning.yml），填入以下内容：

name: "Code Scanning - GitHub Advanced Security"
on:
  push:
    branches: [main]
  pull_request:
    branches: [main]
  schedule:
    - cron: '0 12 * * 0' # 每周日自动执行全量扫描

jobs:
  analyze:
    name: Analyze C# Code
    runs-on: ubuntu-latest
    permissions:
      security-events: write
      contents: read

    steps:
      - name: 拉取代码仓库
        uses: actions/checkout@v4

      - name: 初始化CodeQL
        uses: github/codeql-action/init@v3
        with:
          languages: csharp # 明确指定扫描C#语言，这是关键

      - name: 自动构建项目
        uses: github/codeql-action/autobuild@v3

      - name: 执行CodeQL分析
        uses: github/codeql-action/analyze@v3

2. 确认仓库已开启相关功能 #

在仓库的「Settings」→「Code security and analysis」页面，确保以下两项处于启用状态：

• GitHub Advanced Security
• Code scanning

3. 为什么你的硬编码凭证没被检测到？ #

你插入的AWS示例凭证属于CodeQL硬编码凭证规则的检测范围，但如果没有配置工作流，GitHub不会主动扫描你的代码。只有当工作流运行后，CodeQL才会分析代码并生成对应的安全告警。

4. 验证扫描结果 #

推送工作流文件到仓库后，等待工作流执行完成，然后进入仓库的「Security」→「Code scanning alerts」页面，就能看到关于硬编码AWS凭证的告警了。

内容的提问来源于stack exchange，提问作者Daniel