为何CodeQL无法通过Gradle构建填充数据库？

针对你在Azure DevOps流水线中遇到的Gradle构建时CodeQL无法提取源码的问题，可按以下步骤排查解决：

• 执行干净的Gradle构建
  CodeQL需要捕获完整的源码编译流程，Gradle默认会复用构建缓存或已编译的产物，导致CodeQL看不到编译动作。必须在构建命令中加入clean任务，确保重新编译所有源码：

  ./gradlew clean build
  

  如果只需要编译主源码，也可以用./gradlew clean compileJava，避免执行测试等不必要的任务。

• 确保CodeQL追踪环境变量正确传递
  codeql database init --begin-tracing会生成一系列追踪所需的环境变量，必须保证这些变量被Gradle构建进程继承。在Azure DevOps中，可通过eval命令直接导出这些变量：

  eval "$(codeql database trace-env codeql-db)"
  

  执行Gradle构建前，可添加打印命令验证变量存在：

  echo $CODEQL_EXTRACTOR_JAVA_TRACER_CONFIG
  

• 禁用Gradle守护进程
  Gradle守护进程会复用已有进程，可能导致CodeQL的追踪代理无法注入到编译进程中。构建时添加--no-daemon参数强制启动新进程：

  ./gradlew clean build --no-daemon
  

• 修正CodeQL初始化命令的参数错误
  原命令存在两个潜在问题：

  1. --language java,多了一个逗号，应改为--language java；
  2. --source-root Build.Repository.LocalPath使用了未解析的变量名，Azure DevOps中需用$(Build.Repository.LocalPath)获取本地仓库路径。
     修正后的初始化命令：

  codeql database init --source-root $(Build.Repository.LocalPath) --language java --begin-tracing codeql-db --overwrite --db-cluster
  

• 验证Gradle构建是否正常编译代码
  手动在代理机器上执行Gradle构建命令，检查build/classes/java/main目录是否生成了类文件。如果构建本身未执行编译任务，CodeQL自然无法提取到源码。

调整后的完整流水线脚本示例：

# 初始化CodeQL并启动追踪
codeql database init --source-root $(Build.Repository.LocalPath) --language java --begin-tracing codeql-db --overwrite --db-cluster

# 导出追踪环境变量
eval "$(codeql database trace-env codeql-db)"

# 执行干净的Gradle构建（禁用守护进程）
./gradlew clean build --no-daemon

# 完成数据库初始化
codeql database finalize codeql-db

内容的提问来源于stack exchange，提问作者Ben