LinkedIn重新设计了其静态应用安全测试(SAST)管道，以在GitHub多仓库环境中实现一致的代码扫描，增强代码安全，提供快速可靠的安全反馈，减少开发者工作流中断。新架构利用GitHub Actions协调CodeQL和Semgrep扫描引擎，确保一致的覆盖和执行，并通过轻量级“存根工作流”即时传播更新，维护开发效率。SAST是更广泛应用安全策略的一部分，涵盖依赖扫描和秘密检测。

CodeQL查询调试可能复杂，因为其评估模型与主流语言不同。文章介绍了如何利用抽象语法树和部分路径图等内置功能来诊断问题，并通过示例展示如何检测Gradio框架中的不安全反序列化漏洞。提供了创建CodeQL数据库和简化查询的步骤，以帮助用户更有效地解决查询问题。

不当的CORS配置可能导致严重的安全漏洞，攻击者可绕过身份验证。开发者可使用CodeQL检测CORS框架中的漏洞，通过建模HTTP头部和相关结构来识别潜在的安全问题。

在代码和依赖扫描中，管道配置至关重要。若配置不当，结果可能发布到错误仓库。建议使用推断发布，通过设置变量确保结果发布到正确仓库。在多仓库场景中，需明确指定工作区仓库，以避免错误。遵循最佳实践，确保扫描结果的准确性。

CodeQL是GitHub的代码分析引擎，能够在代码上线前发现漏洞。它支持多种编程语言，并且对公共仓库免费。设置CodeQL分析需要启用GitHub Actions，创建工作流文件并进行自定义配置。运行后可在安全标签中查看漏洞警报。

GitHub的产品安全工程团队利用CodeQL工具进行代码漏洞检测与修复，分享了使用方法以帮助其他组织保护代码。CodeQL通过类似数据库查询的方式自动化安全分析，能够深入理解代码模式并发现潜在安全问题。团队定制查询包以满足特定安全需求，并通过GitHub容器注册表发布以简化更新流程，同时编写单元测试确保查询的稳定性，管理版本以便快速回滚，从而提升安全分析效率。

GitHub的产品安全工程团队利用CodeQL工具分析代码，发现并修复安全漏洞。通过自定义查询和变体分析，团队提高了代码安全性和开发效率。CodeQL还可识别安全控制缺失，帮助工程师更早发现问题。

过去几个月，我们在开源项目中发现了90多个GitHub Actions工作流的漏洞，并为CodeQL增加了新支持以提升安全性。尽管已有安全指南，漏洞依然普遍，主要由于对工作流交互理解不足。新支持包括对Bash脚本的基本支持和污点跟踪，帮助识别和修复潜在安全问题。

CodeQL社区包是一套增强代码分析能力的工具，帮助安全研究人员和开发者识别漏洞和提升代码质量。它包含模型包、查询包和库包，支持Java、C#和Python等语言，优化信号与噪声比，特别适合安全研究。

Gradio是一个用于展示机器学习应用的Python网络框架，近年来备受关注。本文介绍了如何使用CodeQL对Gradio进行建模，发现了11个漏洞，并提供了识别和分析这些漏洞的过程。读者可以学习如何在CodeQL中建模新框架，并扩展研究以发现更多漏洞。