Should AI Scan replace CodeQL?

No automatic replacement follows. Its documented role is complementary coverage for selected languages and frameworks.

Are AI Scan findings ordinary backlog alerts?

No. GitHub documents them as pull-request findings rather than full-repository backlog alerts in the security view.

Can I require every AI Scan finding to pass a ruleset?

No. AI Scan findings are advisory and do not enforce merge requirements.

Does passing code scanning prove the deployed NAS app is patched?

No. Verify the built and running revision, applicable runtime fix, and focused service behavior separately.

GitHub AI Scan jämfört med CodeQL: täckning, fynd och jämförelse av merge-kontroller

Eva Wong

IceWhale author

Eva Wong är Teknisk skribent och den boende fixaren på ZimaSpace. En livslång nörd med en passion för hemma-labb och öppen källkod, hon specialiserar sig på att översätta komplexa tekniska koncept till tillgängliga, praktiska guider. Eva tror att självhosting ska vara roligt, inte skrämmande. Genom sina handledningar ger hon gemenskapen verktyg att avmystifiera hårdvaruinstallationer, från att bygga sin första NAS till att bemästra Docker-containrar.

GitHub AI Scan official announcement cover artwork

Använd GitHub AI Scan som komplement till CodeQL där dess dokumenterade språk- och ramverkstäckning är till hjälp vid granskning av pull requests. Behåll CodeQL för analyser och aviseringsflöden som stöds. De är inte utbytbara kontroller: AI Scans fynd är rådgivande signaler som endast visas i pull requests och kan inte blockera sammanslagningar via regeluppsättningar.

För ett arkiv med en egenhostad applikation beror den rätta kombinationen på vilka språk du använder och hur du distribuerar. Ingen av skannrarna ersätter uppdatering av en sårbar körmiljö eller kontroll av den driftsatta applikationen. Granska källkoden, leverera ändringar som stöds och verifiera tjänsten som separata steg.

Vad skiljer sig åt i täckning och resultat?

Dimension	AI Scan	CodeQL
Primär täckning	Utvalda områden som inte täcks av CodeQL	Språk och konfigurerade analyser som stöds
Huvudsaklig plats för fynd	Fynd i pull requests märkta med AI	Kodskanningsaviseringar och resultat från pull requests
Eftersläpning för hela arkivet	Stöds inte av AI Scan	Beror på konfigurerad analys
Sammanslagningskontroll	Rådgivande; kan inte tillämpa krav i regeluppsättningar	Kodskanningskontroller som stöds beror på konfigurationen
Relation	Kompletterande signal	Befintlig analys och arbetsflöde för aviseringar

Kontrollera aktuellt språkstöd i stället för att förlita dig på en permanent uppdelning. GitHub kan utöka eller ändra täckningen för båda produkterna.

Vilket verktyg fungerar för PHP, Shell och Dockerfiles?

GitHub nämner dessa bland exemplen på vad AI Scan stöder. Det gör verktyget relevant för arkiv som innehåller en app, underhållsskript och containerkonfiguration. Kontrollera vilka filer som faktiskt har ändrats och om pull requesten uppfyller kraven; undantagen för fork-arkiv och Dependabot gäller fortfarande.

Förklaringen av AI Scan går igenom de praktiska begränsningarna. Ett fynd i en Dockerfile innebär inte heller att varje lager i den distribuerade avbildningen har kontrollerats för sårbarheter.

Kan jag använda något av verktygen som villkor för sammanslagning?

Behandla AI Scan som granskningsunderlag, eftersom dess rådgivande fynd inte kan göras till sammanslagningskrav. För CodeQL och andra kontroller bör du läsa om de kodskanningsskydd och regeluppsättningsalternativ som stöds för ditt arkiv. Utgå inte från att en policy för obligatoriska kontroller omfattar AI Scan bara för att resultaten från båda verktygen visas i samma pull request.

Dokumentera vilka kontroller som faktiskt blockerar sammanslagningar, vilka som kräver en granskares bedömning och vem som kan kringgå dem. En kontrollpanel som visar båda verktygen visar inte att de tillämpar samma regler.

Kräver AI Scan att CodeQL ersätts?

Nej. Det dokumenterade syftet är kompletterande täckning. Börja med språken och luckorna i ditt kodarkiv, verifiera att funktionen är tillgänglig och hur den debiteras, och aktivera sedan den extra signalen där den är användbar. Undvik att ta bort en fungerande analys bara för att en ny AI-funktion finns tillgänglig.

Använd installationsguiden för AI Scan för att kontrollera vilka policyer som gäller. Granska en vanlig ändring som omfattas innan du aktiverar funktionen i flera projekt.

Hur kopplar jag skanning till en distribution på en hemmaserver?

Se till att den granskade källkodsversionen, den byggda avbildningen och den distribuerade tjänsten går att spåra. Ett skanningsresultat gäller den analyserade koden; den körande servern kan använda en annan avbildning eller ett föråldrat paket. Dokumentera vad som faktiskt distribuerades och kontrollera ett kritiskt användarflöde i appen.

Guiden från säkerhetsråd till distribution överbryggar det gapet. För tredjepartsapplikationer hjälper guiden för identifiering av PHP-runtime dig att skilja ändringar i ditt kodarkiv från en runtime-uppdatering från leverantören.