CodeQL插件未识别漏洞需依次检查：一、右键项目根目录创建对应语言的CodeQL数据库；二、Cmd+Shift+P运行CWE-78等安全查询；三、启用autoRunQueries并设querySuite为security-and-quality.qls；四、更新QL包；五、CLI强制重建数据库并分析。
如果您在VSCode中安装了CodeQL插件，但未能成功识别项目中的潜在安全漏洞，则可能是由于查询数据库未正确构建、QL包未同步或当前工作区未被CodeQL识别为有效代码库。以下是定位并触发安全漏洞检测的具体操作步骤：
本文运行环境：MacBook Pro，macOS Sequoia。
一、验证CodeQL数据库是否已生成
CodeQL分析依赖于为项目语言构建的精确语义数据库；若数据库缺失或过期，所有安全查询将无法执行或返回空结果。
1、在VSCode资源管理器中，右键点击项目根目录。
2、选择“CodeQL: Create CodeQL Database”选项。
3、在弹出的下拉菜单中，确认目标语言（如JavaScript、Python或Java）已被正确识别。
4、等待终端输出“Database creation completed successfully”提示。
5、检查项目根目录下是否新增codeql-database文件夹，且其内部包含log.txt与working子目录。
二、手动运行安全查询
默认情况下，CodeQL插件不会自动扫描全部漏洞；需显式选择预置的安全查询（如CWE-78、CWE-89等）并绑定到当前数据库执行。
1、按下Cmd+Shift+P（macOS）打开命令面板。
2、输入并选择“CodeQL: Run Query”。
3、在查询选择界面中，展开“Security”分类，点击“CWE-78: OS Command Injection”。
4、确认弹窗中显示的目标数据库路径与当前项目匹配。
5、执行完成后，查看“CodeQL Results”侧边栏，检查是否存在高亮标记的alert节点及对应源码行号。
三、启用自动查询监控
通过配置CodeQL插件的自动分析策略，可在保存文件时实时触发轻量级安全规则检查，提升漏洞发现效率。
1、进入VSCode设置（Cmd+,），搜索“codeql.autoRunQueries”。
2、勾选“CodeQL > Auto Run Queries: Enabled”。
3、在设置中查找“codeql.querySuite”，将其值设为security-and-quality.qls。
4、打开任意.js文件，在末尾添加eval(userInput)类危险调用。
5、保存文件后，观察状态栏是否出现“CodeQL: Running queries…”提示，并在问题面板中查看是否新增CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code条目。
四、检查QL包更新状态
CodeQL规则集持续演进，旧版QL包可能缺失对新型漏洞模式的覆盖；必须确保本地QL包与GitHub上的最新版本同步。
1、打开命令面板（Cmd+Shift+P）。
2、输入并选择“CodeQL: Check for Updates to QL Packages”。
3、等待提示“Found updates for 3 packages”或“Already up to date”。
4、若存在更新，选择“All”并确认下载安装。
5、重启VSCode窗口后，重新执行一次“CodeQL: Run Query”，验证新规则是否生效。
五、切换至CLI模式强制重分析
当插件界面操作无效时，可绕过UI层直接调用CodeQL CLI，强制重建数据库并运行标准安全套件，排除插件缓存干扰。
1、打开终端，执行codeql database create ./my-db --language=javascript --source-root=.。
2、执行codeql database analyze ./my-db codeql-suites/javascript-security-extended.qls --format=sarif-latest --output=results.sarif。
3、在VSCode中安装“SARIF Viewer”扩展。
4、使用命令“SARIF: Open SARIF File”加载results.sarif。
5、在报告中定位所有security-severity字段为high或critical的条目。
