Upload-sarif action doesn't seem to respect "uriBaseId" in SARIF files
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 42/100
- Type d'issue
- Bug
- Clarté
- Plutôt claire
- Activité
- À l'abandon
- Stack technique
- github-actions, typescript
Piste de recherche
Commencez par reproduire le problème avec l’exemple SARIF d’Android Lint et en suivant la manière dont la v2 upload-sarif action résout les emplacements des artefacts. Vérifiez la gestion de originalUriBaseIds et de uriBaseId, puis confirmez que le chemin résolu inclut le répertoire de base configuré et que fingerprinting et code scanning localisent le fichier source.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
We're using "Android Lint" to generate a sarif file. The sarif locations use this pattern:
"originalUriBaseIds": {
"%SRCROOT%": {
"uri": "file:///runner/_work/myrepo/myrepo/some/repo/dir/"
}
},
...
"physicalLocation": {
"artifactLocation": {
"uriBaseId": "%SRCROOT%",
"uri": "src/main/kotlin/Foo.kt"
},
The artifact location is relative to this uriBaseId. This is a reference to originalUriBaseIds, which the SARIF spec says should be used by consumers to find the absolute path.
However, the upload-sarif action debug logs show lines such as this:
##[debug]Unable to compute fingerprint for non-existent file: /runner/_work/myrepo/myrepo/src/main/kotlin/Foo.kt
which shows that it's not resolving paths using that %SRCROOT% path -- the correct path would be /runner/_work/myrepo/myrepo/some/repo/dir/src/main/kotlin/Foo.kt. We also see that the code scanning page says src/main/kotlin/Foo.kt can't be found in our repo ("Sorry, we couldn't find this file in the repository.").
(Caveat: we're using v2 because we can't use node20 in our private runners yet)
- Langage dominant
- TypeScript
- Étoiles
- 1.6k
- Forks
- 493
- Merge moyen
- 1 j 13 h
- PR mergées (30 j)
- 44
Guide de contribution
Ouvrir le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de github/codeql-action
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
github/codeql-action#4052 · 4 commentaires ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 45/100
github/codeql-action#4078 · 1 commentaire ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 48/100
github/codeql-action#4008 · 9 commentaires ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 52/100
github/codeql-action#3978 · 4 commentaires · 1 réaction ·
-
Difficulté 3/5 1-2 jours Accessibilité débutants 48/100
github/codeql-action#3915 · 6 commentaires · 3 réactions ·
Toutes les issues de github/codeql-action
Issues similaires
-
VerificationGate: ATTRIBUTION quote guard never matches a normal quotation (\b around the quote) Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
danielmiessler/LifeOS#2234 ·
-
T: Bug
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 65/100
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 85/100
-
Mend: dependency security vulnerability untriaged
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100