CodeQL 2.27.4改进扫描准确性，CLI修复JSON输出与打包边界

轻墨君_1712

发布时间：2026-11-10 17:30:28

257人浏览过

来源于php中文网

原创

codeql 2.27.4围绕扫描准确性和命令行可靠性作出调整：多种语言的查询减少误报，cli也处理了机器可读输出和查询包打包中的边界问题。版本变更日志标注日期为2026年11月2日，github随后在11月4日发布产品公告；两者对应同一版本。

GitHub CodeQL

先看告警：清理器识别与误报修正

Java/Kotlin的日志注入查询扩展了对JDK、Apache Commons Lang和Text、Guava、OWASP Java Encoder及Spring Framework中清理器和清理条件的识别；路径注入相关分析也补充了对子串条件、字符串替换与删除操作的识别。对已有防护代码而言，这些变化有助于让扫描结果更准确地反映其处理逻辑。

Rust的分配大小、日志注入和明文日志相关查询减少了部分误报。C/C++则不再把std::byte*缓冲区的有意指针运算报为可疑缩放，也不再对标有[[maybe_unused]]的相应变量报告未使用问题。JavaScript/TypeScript的js/invalid-prototype-value查询修正了对象字面量中计算型__proto__属性的误报。

CodeQL 代码扫描结果

报告标签也需要一起看。C#、Java/Kotlin、JavaScript/TypeScript、Python、Ruby和Swift的一批正则表达式及相关查询移除了CWE-730标签，其他CWE标签仍保留。该变化是漏洞分类元数据调整，不能据此判断对应检测规则已经删除。完整日志还新增了面向C/C++可维护性与可靠性问题的cpp-code-quality查询套件。

Expanso yaml-to-json

使用 Expanso Edge 管道将 YAML 输入转换为 JSON 格式。

下载

再看流水线：JSON输出和pack打包各修一处

此前，Java虚拟机的警告或初始化错误可能混入CLI标准输出，影响JSON等机器可读结果。2.27.4把这类消息写到标准错误。通过脚本读取扫描结果的团队，可重点复核输出解析流程，避免把诊断信息误当成结果正文。

执行codeql pack bundle或codeql pack publish时，CLI会在解析符号链接后检查文件是否仍位于pack根目录内。指向根目录外的文件将被排除，并给出警告。维护自定义查询包时，应检查这些警告及实际归档内容，确认依赖文件没有意外遗漏。

升级前分清云端服务、本地CLI与GHES

GitHub.com上的code scanning会自动部署新的CodeQL版本；CodeQL 2.27.4的功能也将包含在GitHub Enterprise Server 3.24中。旧版GHES可按官方说明手动升级CodeQL，不能把云端自动部署理解为所有企业自建环境都已同步更新。

本地使用JavaScript/TypeScript提取器的团队还要注意一项兼容性变化：SEMMLE_TYPESCRIPT_HOME环境变量不再受支持，提取器会忽略它并始终使用自带的TypeScript编译器。升级检查应同时覆盖自定义pack、结果解析脚本和提取器配置，而不是只核对版本号。

JSON 转 Schema 工具排行榜

JSONP的回调函数名为什么能造成XSS？

JavaScript Fetch API 怎么处理接口返回的 Smile 数据

JavaScript Fetch API 怎么处理接口返回的 ODS 数据

JavaScript Tree Shaking polyfill 怎么处理

相关标签:

js json

本站声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

上一篇：Google Classroom接入引导式学习：作业如何配置，学校要先开什么权限下一篇：Figma Code Layers读取原型连接，设计转代码可保留更多交互上下文

作者最新文章

明日方舟时间啊向前TL-6怎么打明日方舟时间啊向前TL-6攻略

2026-11-06 16:36

明日方舟新六星塔露拉怎么样明日方舟塔露拉技能详解

2026-11-06 16:36

明日方舟时间啊向前TL-8怎么打明日方舟时间啊向前TL-8攻略

2026-11-06 17:04

明日方舟11月新模组怎么开明日方舟11月模组开启建议

2026-11-06 17:05

影之刃零郎君的玉面获取攻略推主线到梦华山庄和梦差秘境拾取

2026-11-06 17:16

豆包火车票订单信息与12306同步吗

2026-11-07 10:36

蚂蚁新村今日答案最新11.7 蚂蚁新村11月7答题正确答案

2026-11-07 13:19

搜狗搜索如何使用站内搜索代码嵌入自己网站

2026-11-08 12:19

小白网新域名是什么？小白网官网地址与备用登录入口导航

2026-11-08 12:24

蚂蚁新村今日答案最新11.8 蚂蚁新村11月8答题正确答案

2026-11-08 13:10

热门AI工具

讯飞绘文 Hot

讯飞绘文是一款由科大讯飞推出的一站式 AIGC 内容运营平台。

AI应用软件 PC软件

函子Zion Hot

一款支持AI搭建、可视化编辑和多端发布的全栈无代码开发平台。

Atoms Hot

Atoms是一款AI智能体工具，第一支自动构建真实业务的 AI 团队。

Agent智能体

咔片AIPPT Hot

一款在线AI演示文稿制作工具，可根据主题和内容需求辅助生成PPT结构与页面，提高演示材料制作效率。

文档处理 PPT 助手

豆包大模型

豆包大模型是一款由字节跳动推出的企业级大语言模型服务平台。

AI编程开发 AI大模型

DeepSeek

DeepSeek是一款面向对话、写作、编程和推理场景的AI大模型工具。

AI编程开发 AI聊天问答

墨刀AI Hot

一款AI图像与设计工具，主要用于产品经理的专属智能体，适合需要提升相关任务效率的用户。

AI设计工具 Agent智能体

WorkBuddy

一款AI办公效率工具，主要用于腾讯云推出的AI原生桌面智能体工作台，适合需要提升相关任务效率的用户。

AI办公学习 Agent智能体

Flowith Hot

Flowith是一款基于画布和智能体工作流的 AI 协作工作空间。

AI办公学习 AI搜索引擎

相关专题

js正则表达式

php中文网为大家提供各种js正则表达式语法大全以及各种js正则表达式使用的方法，还有更多js正则表达式的相关文章、相关下载、相关课程，供大家免费下载体验。

4896

2023.06.20

js获取当前时间

JS全称JavaScript，是一种具有函数优先的轻量级，解释型或即时编译型的编程语言;它是一种属于网络的高级脚本语言，主要用于Web，常用来为网页添加各式各样的动态功能。js怎么获取当前时间呢？php中文网给大家带来了相关的教程以及文章，欢迎大家前来学习阅读。

1435

2023.07.28

js 字符串转数组

js字符串转数组的方法：1、使用“split()”方法；2、使用“Array.from()”方法；3、使用for循环遍历；4、使用“Array.split()”方法。本专题为大家提供js字符串转数组的相关的文章、下载、课程内容，供大家免费下载体验。

1898

2023.08.03

js是什么意思

JS是JavaScript的缩写，它是一种广泛应用于网页开发的脚本语言。JavaScript是一种解释性的、基于对象和事件驱动的编程语言，通常用于为网页增加交互性和动态性。它可以在网页上实现复杂的功能和效果，如表单验证、页面元素操作、动画效果、数据交互等。

10443

2023.08.17

js删除节点的方法

js删除节点的方法有：1、removeChild()方法，用于从父节点中移除指定的子节点，它需要两个参数，第一个参数是要删除的子节点，第二个参数是父节点；2、parentNode.removeChild()方法，可以直接通过父节点调用来删除子节点；3、remove()方法，可以直接删除节点，而无需指定父节点；4、innerHTML属性，用于删除节点的内容。

1040

2023.09.01

js截取字符串的方法

js截取字符串的方法有substring()方法、substr()方法、slice()方法、split()方法和slice()方法。本专题为大家提供字符串相关的文章、下载、课程内容，供大家免费下载体验。

3104

2023.09.04

Js中concat和push的区别

Js中concat和push的区别：1、concat用于将两个或多个数组合并成一个新数组，并返回这个新数组，而push用于向数组的末尾添加一个或多个元素，并返回修改后的数组的新长度；2、concat不会修改原始数组，是创建新的数组，而push会修改原数组，将新元素添加到原数组的末尾等等。本专题为大家提供concat和push相关的文章、下载、课程内容，供大家免费下载体验。

1649

2023.09.14