SARIFファイルで結果を取得
静的スキャンの結果をターミナルウィンドウではなく、SARIFファイルで取得するよう指定できます(Contrast CLIを使用している場合)。また、Contrast WebインターフェイスからSARIFファイルをダウンロードすることもできます。
手順
Contrast CLIを使用して静的スキャンを行う場合、以下のコマンドオプションを指定すると、結果をSARIFに保存できます。
contrast scan --save
このコマンドによって、
results.sarifというデフォルト名で現在の作業ディレクトリにファイルがダウンロードされます。このファイルは、任意のテキストエディタで表示できます。Contrast Webインターフェイスを使用する場合は、結果をSARIF(またはCSV)ファイルにダウンロードできます。
Contrast Webインターフェイスのナビゲーションバーでスキャンを選択します。
スキャンプロジェクトの一覧から、プロジェクトを選択します。
スキャンの行の最後に表示されているダウンロードアイコン(
)を選択します。結果は、スキャン完了後の5日間ダウンロード可能です。
静的スキャンにGitHub Actionを使用しており、リポジトリのSecurityタブで結果を表示するためには、以下のGitHub Actionを設定に含めてください。
- name: Upload SARIF file uses: github/codeql-action/upload-sarif@v2 with: sarif_file: results.sarifSARIFファイル名は、
results.sarifにする必要があります。