靜態程式碼弱點掃描工具 - CodeQL
最近看到有專案的 GitHub Actions 在用 CodeQL, 所以查了一下什麼是 CodeQL 。
原來 CodeQL 是 1 套開源靜態程式碼弱點掃描工具，每個人都可以使用這套工具對程式碼進行弱點掃描，例如 SQL injection, 使用 eval() 函式執行未知程式碼等等。
除此之外，CodeQL 也可以開發弱點的掃描規則，並且貢獻回 CodeQL 專案，為資訊安全貢獻一己之力。
CodeQL 有 CLI 指令工具之外，也提供 VSCode 外掛可以安裝，支援掃描的語言有 C/C++, C#, Go, Python, Java, Kotlin, JavaScript, Ruby, Swift 以及 TypeScript, 支援的框架有 Django, FastAPI, axios, Spring, JDBC, ASP.NET 等等，不僅主流語言都有涵蓋之外，在框架(framework)的部分也相當廣泛，足堪作為基本資安防身短刀使用！