关于GitHub是否公开CodeQL规则集及CodeQL覆盖漏洞与OWASP十大Web应用安全风险对比的技术问询

针对你提出的两个问题，我整理了具体的信息：

• GitHub是否发布CodeQL规则集？
  当然会！官方维护的CodeQL规则集是完全开源且公开的，涵盖了Java、Python、JavaScript、C#等绝大多数主流开发语言。这些规则直接托管在GitHub上，你可以自由浏览、检查甚至根据自己的需求修改规则内容。官方规则集一直在持续更新，会跟进最新的漏洞类型和安全标准。

• 是否会公开CodeQL所覆盖的漏洞对应规则列表？
  是的，每个官方CodeQL规则都带有详细的元数据信息，其中明确标注了该规则所检测的具体漏洞类型，通常会关联对应的CWE（常见弱点枚举）编号。而CWE和OWASP Top 10的风险项是有直接映射关系的——比如检测SQL注入的规则会关联CWE-89，这正好对应OWASP Top 10中的“注入”风险；检测跨站脚本的规则会关联CWE-79，对应OWASP Top 10的“跨站脚本（XSS）”。

  你可以直接查看QL规则文件中的metadata部分，找到这些关联信息。如果需要系统性地核对与OWASP Top 10的覆盖缺口，还可以通过编写自定义的CodeQL查询，来统计官方规则集中覆盖了哪些OWASP风险项，以及哪些存在空白。

另外补充一点：除了官方规则，GitHub社区也有大量开发者贡献的自定义CodeQL规则，你可以利用这些社区资源来补充官方规则的覆盖范围，进一步缩小与OWASP Top 10的缺口。

内容的提问来源于stack exchange，提问作者Kye