Запросы Swift для анализа CodeQL

Изучите запросы, которые CodeQL используются для анализа кода, написанного в Swift при выборе default или наборе security-extended запросов.

Кто может использовать эту функцию?

Code scanning доступен для всех общедоступных репозиториев на GitHub.com. Code scanning также доступен для частных репозиториев, принадлежащих организациям, использующей GitHub Enterprise Cloud и имеющих лицензию на GitHub Advanced Security. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.

CodeQL содержит множество запросов для анализа кода Swift. Все запросы в наборе default запросов выполняются по умолчанию. Если вы решили использовать security-extended набор запросов, выполняются дополнительные запросы. Дополнительные сведения см. в разделе Наборы запросов CodeQL.

Встроенные запросы для анализа Swift

В этой таблице перечислены запросы, доступные в последнем выпуске действия CodeQL и CodeQL CLI. Дополнительные сведения см. в разделе CodeQL журналов изменений на сайте документации CodeQL документации.

Имя запросаСвязанные CWEsПо умолчанию.РасширенноеCopilot Autofix
Неправильная фильтрация HTML116, 020, 185, 186
Ведение журнала конфиденциальной информации cleartext312, 359, 532
Хранилище конфиденциальной информации в локальной базе данных312
Хранилище конфиденциальной информации в хранилище предпочтений приложения312
Передача конфиденциальной информации cleartext319
Постоянный пароль25 %
Запрос базы данных, созданный из управляемых пользователем источников089
Шифрование с помощью ECB327
Жестко закодированный ключ шифрования321
Неполное регулярное выражение для имен узлов020
Неэффективное регулярное выражение1333, 730, 400
Небезопасная конфигурация TLS757
Недостаточно хэш-итерации916
Отсутствует привязка регулярного выражения020
Предикат, созданный из управляемых пользователем источников943
Внедрение регулярных выражений730, 400
Разрешение внешней сущности XML в управляемых пользователем данных611, 776, 827
Вектор статической инициализации для шифрования329, 1204
Конфляция длины строки135
Системная команда, созданная из управляемых пользователем источников078, 088
Неконтролируемые данные, используемые в выражении пути022, 023, 036, 073, 099
Неконтролируемая строка формата134
Небезопасное получение WebView079, 095, 749
Использование неработающего или слабого алгоритма хэширования криптографических данных в конфиденциальных данных327, 328
Использование неправильного алгоритма шифрования хэширования паролей327, 328, 916
Использование константных солей760
Внедрение JavaScript094, 095, 749