CodeQL 是一个代码语义分析引擎，可以用来发现代码中存在的漏洞。CodeQL 首先对项目进行静态分析，生成一系列中间文件，称为 database。用户可以编写 QL 查询语句，利用 CodeQL 引擎对这些数据库进行查询。

# 1. 安装

• Visual Studio Code

  因为 CodeQL 一般搭配 VS Code 使用，所以我们先下载 VS Code。官网地址： https://code.visualstudio.com/Download

• CodeQL

  • 命令行工具下载

    https://github.com/github/codeql-cli-binaries/releases

    选择自己的操作系统对应的版本，下载解压好之后再添加系统变量

    mac 添加环境变量的方法

    a. vi ~/.bash_profile

    b. 末尾添加一行 export PATH=your-path/codeql-cli:$PATH

    c. 退出， source ~/.bash_profile

  • VS Code 插件下载

# 2. 生成 database

# 3. 查询