用途：将 CodeQL 静态应用安全测试集成到 GitHub 开发流程，检测 SQL 注入、跨站脚本、缓冲区溢出、认证缺陷等漏洞，并以多组件构成仓库整体安全态势。
主要能力：CodeQL 将代码编译为可查询数据库后执行安全查询，查询套件按 CWE 映射并覆盖 OWASP Top 10 与 SANS Top 25，支持自定义 QL 查询；提供默认设置（一键启用、自动识别语言）与高级设置（生成可定制的 .github/workflows/codeql.yml）；支持组织级大规模启用与安全覆盖仪表盘；包含机密扫描与推送保护、依赖审查、Dependabot 告警。
使用方式：需 GitHub Enterprise Cloud 或 Server 3.0+ 及 GHAS 许可、仓库管理员或组织所有者权限、熟悉 Actions YAML。基本步骤为启用 GHAS、配置默认或高级设置、按需引入自定义查询包、配置分支保护与状态检查、启用机密扫描及 Dependabot。工作流示例保留原样： name: "CodeQL Analysis" on: push: branches: [main, develop] pull_request: branches: [main] schedule: - cron: '30 2 * * 1'
适用场景：环境部署与配置、合规安全控制、安全架构建设、安全评估实施。
限制：需 GHAS 许可；支持语言为 C/C++、C#、Go、Java/Kotlin、JavaScript/TypeScript、Python、Ruby、Swift；编译型语言要求成功编译；许可按活跃提交者计费；GHAS 为计费功能，具体价格与平台细节资料未提供。