Add CodeQL static analysis workflow

Fermée
  • Quelque chose ne va pas ?
#298 1 commentaire 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 2 jours

@Kshot3000 y travaille déjà.

Depuis le 16/10/2026.

  • #335 par @Kshot3000 — ouverte

Évaluation

Difficulté
3/5
Temps estimé
1-2 jours
Accessibilité débutants
72/100
Type d'issue
Fonctionnalité
Clarté
Plutôt claire
Activité
Active
Stack technique
github-actions, typescript
Domaine
ci-cd, security

Piste de recherche

Commencez par examiner .github/dependabot.yml et les fichiers existants sous .github/workflows afin de comprendre les conventions GitHub Actions du dépôt. Ajoutez un workflow CodeQL pour javascript-typescript lors des pushes et des pull requests ciblant main, ainsi qu’une planification hebdomadaire. Vérifiez que le workflow s’exécute correctement sur main et que des alertes apparaissent dans Security → Code scanning ; ne mettez à jour TRIAGE.md que si nécessaire.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

stale

Summary

Gap: CodeQL is still not configured; tracked as a follow-up so static analysis covers more than dependency alerts.

Context

We now have Dependabot active for npm + GitHub Actions, and npm audit on main is down to 0 after recent remediation work. Dependency scanning alone is not enough — CodeQL would add SAST coverage for the website (JS/TS) and workflow/config surfaces.

Related recent work:

Proposal

  1. Add a GitHub Actions CodeQL workflow under .github/workflows/ (e.g. codeql.yml).
  2. Enable analysis for javascript-typescript (primary stack for website/).
  3. Run on:
    • push to main
    • pull_request targeting main
    • weekly schedule (recommended default)
  4. Confirm results appear under the repo Security → Code scanning tab.
  5. Optionally tune query suite (security-extended / default) once baseline noise is understood.

Acceptance criteria

  • CodeQL workflow merged and running green on main
  • Code scanning alerts visible in GitHub Security
  • Docs/notes updated if triage process should mention CodeQL alongside Dependabot (TRIAGE.md if appropriate)

Priority

Medium — closes a known maintainer security gap after dependency remediation.

Langage dominant
TypeScript
Étoiles
13
Forks
24
Merge moyen
1 j 19 h
PR mergées (30 j)
18

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de IntersectMBO/developer-experience

Toutes les issues de IntersectMBO/developer-experience

Issues similaires

Plus d'issues TypeScript

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.