使用Docker@2构建的C#应用在Azure DevOps中GHAS CodeQL扫描失败

问题根源 #

CodeQL针对C#这类编译型语言，需要捕获代码编译过程来生成可分析的数据库。当前流水线中，C#代码的编译是在Docker容器内部完成的，CodeQL的探针无法穿透容器捕获这个编译活动，因此无法识别和处理C#代码。而JavaScript属于解释型语言，CodeQL无需捕获编译过程，直接扫描源码即可，所以JS应用扫描正常。

解决方案 #

调整流水线顺序，先在Azure DevOps代理主机上执行C#项目的干净编译，让CodeQL捕获编译过程，再进行Docker镜像构建。具体步骤如下：

1. 添加C#干净编译任务
   在AdvancedSecurity-Codeql-Init@1任务之后、Docker构建任务之前，添加DotNetCoreCLI@2任务，执行clean和build命令，确保编译过程被CodeQL捕获。

2. 保证编译的纯净性
   必须先执行dotnet clean清除所有旧的构建产物，避免CodeQL遗漏未重新编译的代码文件。

修改后的完整流水线配置 #

# Advanced Security Initialize CodeQL v1
# Initializes the CodeQL database in preparation for building.
- task: AdvancedSecurity-Codeql-Init@1
  inputs:
    languages: 'csharp'
    querysuite: 'security-and-quality'

# 执行C#项目干净编译，让CodeQL捕获编译过程
- task: DotNetCoreCLI@2
  displayName: Clean and Build C# Project
  inputs:
    command: 'clean'
    projects: '**/*.csproj' # 根据你的项目路径调整
    arguments: '--configuration Release'
- task: DotNetCoreCLI@2
  displayName: Build C# Project
  inputs:
    command: 'build'
    projects: '**/*.csproj' # 根据你的项目路径调整
    arguments: '--configuration Release --no-restore'

- task: Docker@2
  displayName: Login To Azure Container Registry
  inputs:
    command: login
    containerRegistry: ${{ parameters.ContainerRegistryServiceConnection }}

- task: Docker@2
  displayName: Build Docker Image
  inputs:
    containerRegistry: ${{ parameters.ContainerRegistryServiceConnection }}
    repository: ${{ parameters.ImageRepository }}
    command: "build"
    Dockerfile: ${{ parameters.DockerfilePath }}
    buildContext: "."
    tags: |
      $(Build.BuildId)
      latest

# Advanced Security Dependency Scanning v1
# Scan for open source dependency vulnerabilities in your source code.
- task: AdvancedSecurity-Dependency-Scanning@1
  displayName: Dependency Scanning

# Advanced Security Perform CodeQL analysis v1
# Finalizes the CodeQL database and runs the analysis queries.
- task: AdvancedSecurity-Codeql-Analyze@1
  displayName: Perform CodeQL analysis

额外注意事项 #

• 如果你的Dockerfile中原本包含了dotnet build步骤，可考虑保留，但必须确保主机上的编译过程完整覆盖所有代码，或者调整Dockerfile使用主机编译好的产物进行镜像构建（即多阶段构建，第一阶段编译，第二阶段复制产物），这样既保证CodeQL能捕获编译，又不影响Docker镜像的构建逻辑。
• 确认代理主机已安装对应版本的.NET SDK，避免编译失败。

内容的提问来源于stack exchange，提问作者Paul