Should AI Scan replace CodeQL?

No automatic replacement follows. Its documented role is complementary coverage for selected languages and frameworks.

Are AI Scan findings ordinary backlog alerts?

No. GitHub documents them as pull-request findings rather than full-repository backlog alerts in the security view.

Can I require every AI Scan finding to pass a ruleset?

No. AI Scan findings are advisory and do not enforce merge requirements.

Does passing code scanning prove the deployed NAS app is patched?

No. Verify the built and running revision, applicable runtime fix, and focused service behavior separately.

GitHub AI Scan vs CodeQL: porównanie zakresu, wyników i kontroli scalania

Eva Wong

IceWhale author

Eva Wong jest Technicznym pisarzem i stałym majsterkowiczem w ZimaSpace. Całe życie geek z pasją do homelabów i oprogramowania open-source, specjalizuje się w tłumaczeniu skomplikowanych koncepcji technicznych na przystępne, praktyczne przewodniki. Eva wierzy, że samodzielne hostowanie powinno być zabawą, a nie czymś onieśmielającym. Poprzez swoje samouczki umożliwia społeczności rozwiewanie tajemnic konfiguracji sprzętu, od budowy pierwszego NAS po opanowanie kontenerów Docker.

GitHub AI Scan official announcement cover artwork

Korzystaj z GitHub AI Scan jako uzupełnienia CodeQL tam, gdzie udokumentowana obsługa języków i frameworków pomaga w przeglądzie żądań ściągnięcia. Nadal używaj CodeQL do obsługiwanych przez niego analiz i przepływów pracy z alertami. Te narzędzia nie są zamiennymi mechanizmami kontroli: ustalenia AI Scan są wyłącznie informacyjnymi sygnałami dostępnymi w PR i nie mogą blokować scalania za pomocą zestawów reguł.

W przypadku repozytorium aplikacji hostowanej samodzielnie właściwe połączenie narzędzi zależy od używanych języków i procesu wdrażania. Żaden skaner nie zastąpi aktualizacji podatnego środowiska uruchomieniowego ani sprawdzenia działającej aplikacji. Sprawdź kod źródłowy, wdrażaj obsługiwane zmiany i weryfikuj usługę jako osobne kroki.

Czym różnią się zakres i wyniki?

Wymiar	AI Scan	CodeQL
Główny zakres	Wybrane obszary nieobjęte przez CodeQL	Obsługiwane języki i skonfigurowane analizy
Główne miejsce prezentacji ustaleń	Ustalenia AI w żądaniach ściągnięcia	Alerty skanowania kodu i wyniki PR
Zaległości obejmujące całe repozytorium	Nieobsługiwane przez AI Scan	Zależy od skonfigurowanej analizy
Kontrola scalania	Informacyjne; nie można wymusić wymagań zestawu reguł	Obsługiwane mechanizmy skanowania kodu zależą od konfiguracji
Relacja	Uzupełniający sygnał	Istniejące analizy i przepływ pracy z alertami

Sprawdzaj aktualną obsługę języków, zamiast polegać na stałym podziale. GitHub może rozszerzyć lub zmienić zakres obsługi obu produktów.

Które narzędzie obsługuje PHP, Shell i pliki Dockerfile?

GitHub wymienia je wśród przykładów obsługiwanych przez AI Scan. Dzięki temu narzędzie może być przydatne w repozytoriach łączących aplikację, skrypty konserwacyjne i konfigurację kontenerów. Sprawdź faktycznie zmienione pliki i to, czy PR spełnia wymagania; wykluczenia dotyczące forków i Dependabota nadal obowiązują.

Wyjaśnienie działania AI Scan opisuje granice jego zastosowania. Wykrycie problemu w pliku Dockerfile nie oznacza też, że oceniono podatności każdej warstwy wdrożonego obrazu.

Czy mogę używać dowolnego z tych narzędzi jako warunku scalania?

Traktuj AI Scan jako materiał do przeglądu, ponieważ jego zalecenia nie mogą stać się wymaganiami dotyczącymi scalania. W przypadku CodeQL i innych kontroli sprawdź, jakie opcje ochrony skanowania kodu i zestawów reguł są obsługiwane w Twoim repozytorium. Nie zakładaj, że polityka wymaganych kontroli obejmuje AI Scan tylko dlatego, że wyniki obu narzędzi pojawiają się w tym samym PR.

Udokumentuj, które mechanizmy faktycznie blokują scalanie, które wymagają oceny recenzenta i kto może je ominąć. Pulpit pokazujący oba narzędzia nie dowodzi, że egzekwują identyczne zasady.

Czy dodanie AI Scan wymaga zastąpienia CodeQL?

Nie. Zgodnie z dokumentacją funkcja ma zapewniać uzupełniające pokrycie. Zacznij od języków i luk w swoim repozytorium, sprawdź dostępność funkcji i rozliczenia, a następnie włącz dodatkowy sygnał tam, gdzie będzie przydatny. Nie usuwaj działającej analizy tylko dlatego, że dostępna jest nowa funkcja AI.

Skorzystaj z przewodnika konfiguracji AI Scan, aby sprawdzić obowiązujące zasady. Przejrzyj zwykłą zmianę objętą zakresem, zanim rozszerzysz aktywację na wiele projektów.

Jak połączyć skanowanie z wdrożeniem na serwerze domowym?

Zadbaj o możliwość prześledzenia zweryfikowanej wersji źródłowej, zbudowanego obrazu i wdrożonej usługi. Wynik skanera dotyczy analizowanego kodu; działający serwer może korzystać z innego obrazu lub nieaktualnego pakietu. Zapisz, co faktycznie wdrożono, i sprawdź jedną kluczową ścieżkę działania aplikacji.

Przewodnik od komunikatu o luce do wdrożenia wypełnia tę lukę. W przypadku aplikacji innych firm przewodnik identyfikacji środowiska PHP pomaga odróżnić zmiany w repozytorium od aktualizacji środowiska uruchomieniowego dostawcy.