问忽略对PR的代码扫描警报，这些警报已在默认分支上被拒绝
EN

Stack Overflow用户

提问于 2022-03-11 08:53:25

回答 1查看 76关注 0票数 1

我在我的GitHub操作工作流中启用了两个不同的代码扫描工具，每个工具都将其结果上传到GitHub安全选项卡(通过上载-sarif)。

其中一次扫描会产生许多与我的项目无关的警报，因为它扫描构建的容器映像，并为基本(Linux)映像中包含的所有包和实用程序生成警报，而不管我的应用程序是否使用它们。因此，我已经查看了GitHub安全选项卡上的所有警报，并将不相关的警报(作为“不会修复”)排除在外。

随后在默认分支上执行GitHub操作工作流可以正常工作--代码扫描工具仍然生成所有警报，但是GitHub看到警报已经被取消，没有在Security选项卡上添加或重新打开它们。

但是，我也希望在针对我的默认分支的PR上运行扫描，以便在合并任何新警报之前捕捉到它们。但是在这里，GitHub似乎并没有检查默认分支中的警报是否已经被排除，所以代码扫描检查在每个PR上都失败了。更糟糕的是，如果我忽略了检查并合并PR，那么警报就会转移到默认的分支中，并且需要再次手动删除。

有办法解决这个问题吗，还是我应该以另一种方式来处理这个问题？

回答已采纳

发布于 2022-03-16 12:11:20

我发现所讨论的代码扫描工具(Trivy)在它的SARIF输出中不包括指纹，这就是混淆GitHub的原因。我在这里为Trivy提出了一个特性请求：https://github.com/aquasecurity/trivy/issues/1840

作为一种解决办法，我发现将容器映像名保持为静态代码扫描允许GitHub的回退重复逻辑正确识别重复警报。

票数 0

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/71435931

复制

相似问题

问忽略对PR的代码扫描警报，这些警报已在默认分支上被拒绝EN