source-root is not applied in SARIF output

Offen

#1,147 erstellt am 20.7.2022 4 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 45/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Veraltet
Tech-Stack: github-actions
Bereich: ci-cd, security

Rechercherichtung

Den zusammengesetzten Workflow mit source-root: packages/react, mit und ohne checkout_path, reproduzieren und anschließend die Werte von SARIF artifactLocation.uri überprüfen. Diese Pfade mit den vom GitHub-Code-Scanning erwarteten Speicherorten im Repository-Root vergleichen; abgeschlossen ist die Aufgabe, wenn hochgeladene Ergebnisse auf die richtigen Repository-Dateien verweisen.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

enhancement

I'm not sure if I got the doc wrong, but I have a project with multiple folders and when running CodeQL on a single sub-folder using source-root like this :

runs:
  using: composite
  steps:
    - name: Initialize CodeQL
      uses: github/codeql-action/init@v2
      with:
        languages: ${{ inputs.languages }}
        source-root: packages/react

    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v2
      with:
        category: ${{ inputs.category }}
        checkout_path: packages/react # Tried with or without this

In the sarif output, the artifactLocation.uri properties are relative to packages/react, which once uploaded to Github code scanning, yields invalid paths in the repository, as they are relative from the source-root, instead of the repository root.

Vorherrschende Sprache: TypeScript
Sterne: 1.6k
Forks: 493
Ø Merge: 1 T. 13 Std.
Gemergte PRs (30 T.): 44

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/codeql-action

upload-sarif always warns when setting partialFingerprints Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/codeql-action#4052 · 4 Kommentare · Erstellt am 29.7.2026
Ruby (build-mode=none) default-setup analysis fails with "no source code was seen" on pull_request events, but succeeds on push — traced to --no-calculate-baseline Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 45/100

github/codeql-action#4078 · 1 Kommentar · Erstellt am 05.8.2026
CodeQL autobuild hangs forever on failure Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100

github/codeql-action#4008 · 9 Kommentare · Erstellt am 14.7.2026
`codeql-action/init` Makes Metal Toolchain Unavailable on macOS 26 Runners Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 52/100

github/codeql-action#3978 · 4 Kommentare · 1 Reaktion · Erstellt am 26.6.2026
CodeQL fails to detect rust/insecure-cookie in Rust code Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 48/100

github/codeql-action#3915 · 6 Kommentare · 3 Reaktionen · Erstellt am 19.5.2026

Alle Issues in github/codeql-action