宣布CodeQL社区包

CodeQL社区包是一套增强代码分析能力的工具，帮助安全研究人员和开发者识别漏洞和提升代码质量。

CodeQL是一种语义代码分析工具，允许开发者将代码库视为数据库进行查询，以高效识别漏洞、错误和模式。

标准的CodeQL查询集专注于准确性和低误报率，适合集成到CI/CD管道中。

CodeQL社区包包括三种主要类型的包：模型包、查询包和库包。

模型包包含额外的污点跟踪源、汇和库框架的总结，支持不在默认套件中的库和框架。

查询包包含额外的安全和审计查询，帮助识别潜在漏洞和提升代码质量。

库包为查询包提供必要的库，便于进行更全面的分析。

GitHub安全实验室在过去几年中广泛使用这些包，取得了良好的效果。

社区包提供多种额外的查询和模型，支持Java、C#和Python等语言，优化信号与噪声比。

Java包包括已知CVE的查询、新的安全查询、审计探索查询和审计模板。

库源包用于定义作为不可信数据源的库API方法参数，支持新的威胁模型。

探索查询帮助识别不可信数据进入应用程序的入口点和危险操作。

社区包可以作为GitHub代码扫描工作流的一部分使用，也可以通过CodeQL CLI使用。

社区包的贡献是最重要的，欢迎分享模型和查询，帮助保护开源软件。