GitHub使CodeQL免费用于研究和开源

GitHub已免费提供CodeQL ，这是一个语义代码分析引擎和查询工具，用于在整个代码库中查找安全漏洞，任何人都可以免费使用它进行研究或分析开源代码。

CodeQL像代码一样查询代码。 开发人员可以使用CodeQL编写查询来查找漏洞的所有变体，然后与其他开发人员共享该查询。 例如，开发人员可以创建一个模仿跨站点脚本错误类的查询，然后使用该查询查找任何错误类。 CodeQL还可以用于查找零天，关键漏洞的变体以及诸如缓冲区溢出或SQL注入问题之类的缺陷。

[ 也在InfoWorld上：10个软件开发崇拜者加入 ]

CodeQL由Semmle于几年前开发，该公司于9月被GitHub收购。 在免费为开放源代码提供CodeQL之前，Semmle将其作为商业服务提供。 仍然可以根据商业许可使用私有代码存储库。

CodeQL的功能包括：

• 用于控制和数据流分析，污染跟踪和威胁模型探索的库。 支持的语言包括C / C ++，C＃，Java，JavaScript，Python等。 目前不支持的一种语言是Rust。
• IDE的CodeQL插件。
• LGTM查询控制台，可用于在浏览器中编写CodeQL并查询产品组合中的漏洞。
• 能够在多个代码库上运行即用型查询或自定义查询。

[ 通过InfoWorld的App Dev Report新闻通讯了解软件开发中的热门话题 ]

如何访问CodeQL

可以在LGTM.com的LGTM查询控制台中试用CodeQL 。

From: https://www.infoworld.com/article/3453742/github-makes-codeql-free-for-research-and-open-source.html