Azure DevOps中GitHub高级安全Autobuild步骤机制及相关问题

我在Azure DevOps中使用以下YAML流水线，通过GitHub高级安全进行代码扫描和依赖项扫描：

pool:
  vmImage: ubuntu-latest

steps:

- task: AdvancedSecurity-Codeql-Init@1
  inputs:
    languages: 'csharp'

- task: AdvancedSecurity-Codeql-Autobuild@1

- task: AdvancedSecurity-Dependency-Scanning@1

- task: AdvancedSecurity-Codeql-Analyze@1

我的单仓（monorepo）包含5个应用程序。请问Autobuild步骤的工作机制是什么？若存在多个.NET项目（多个csproj和sln文件），它如何确定要构建哪个项目？是否会全部构建？

另外，当我使用自定义构建仅构建单仓中的一个项目时：

- task: DotNetCoreCLI@2
  displayName: '.NET Restore'
  inputs:
    command: restore
    projects: ${{ variables.projectPath }}
    vstsFeed: 'MyCorpFeed'
    includeNuGetOrg: true


- task: DotNetCoreCLI@2
  displayName: '.NET Build'
  inputs:
    command: build
    projects: ${{ variables.projectPath }}
    arguments: '--configuration release'

在输出中却发现了其他未被构建的.NET项目的告警，这是操作有误还是正常现象？

一、AdvancedSecurity-Codeql-Autobuild@1的工作机制与多项目处理 #

• Autobuild的核心逻辑是自动检测仓库内的构建配置文件，触发对应语言的标准构建流程，无需手动指定构建命令。针对.NET项目，它的处理规则如下：
  1. 优先查找仓库根目录及子目录中的.sln解决方案文件，找到后自动执行dotnet build构建整个解决方案。
  2. 若未找到.sln文件，则查找所有.csproj项目文件，自动执行dotnet build构建所有检测到的项目。
  3. 简言之，只要仓库中存在可识别的.NET构建文件，Autobuild会默认构建所有能检测到的.NET项目/解决方案，不会自动筛选单个项目。

二、自定义构建仍出现其他项目告警的原因 #

这是正常现象，原因如下：

• CodeQL代码扫描范围：AdvancedSecurity-Codeql-Init@1初始化阶段就会扫描整个仓库内符合指定语言（此处为C#）的代码文件，而非仅限定在你构建的项目范围内。即便只构建单个项目，CodeQL仍会分析仓库中所有C#代码文件，因此会生成其他未构建项目的代码告警。
• 依赖项扫描范围：AdvancedSecurity-Dependency-Scanning@1会扫描仓库内所有依赖配置文件（如.csproj、packages.config等），无论对应项目是否被构建，只要存在依赖文件就会进行漏洞检测，因此也会出现其他项目的依赖告警。

如果只想针对单个项目生成扫描结果，可在初始化阶段通过参数限定扫描范围，示例：

- task: AdvancedSecurity-Codeql-Init@1
  inputs:
    languages: 'csharp'
    paths: '${{ variables.projectPath }}'
    paths-ignore: '**/其他项目路径/**'

内容的提问来源于stack exchange，提问作者Enrico