# SARIF 結果ファイルが大きすぎる code scanningに 10 MB を超える SARIF 結果ファイルをアップロードすることはできません。 影響が最も大きい結果を含む、より小さなファイルを生成する方法を確認します。 ## このエラーについて ```text SARIF file is too large SARIF results file is too large SARIF upload is rejected (bigger than allowed size for zip archive) SARIF ZIP upload is too large A fatal error occurred: SARIF file is too large 413: Payload Too Large ``` あるプロセスが 10 MB の最大サイズを超える SARIF ファイルをアップロードしようとすると、これらのエラーの 1 つが報告されます。 Code scanning は、このサイズを超えているファイルは受け入れません。 code scanningにアップロードするために生成される結果の数を減らすには、いくつかの方法があります。 CodeQLまたはサードパーティの分析ツールによって生成された SARIF ファイルに対して、このエラーが表示される可能性があります。 code scanningへのアップロードの制限については、[Code scanningの SARIF サポート](/ja/code-security/reference/code-scanning/sarif-files/sarif-support#file-compatibility) を参照してください。 ## エラーの原因を確認する 非常に大きな SARIF 結果ファイルには、多くの原因が考えられます。 ### SARIF ファイル圧縮 code scanningによって拒否された結果ファイルを見て、次の点を確認します。 * SARIF ファイルは gzip を使って圧縮された * 圧縮ファイルは 10 MB 未満である ファイルが gzip を使って圧縮されていない場合は、アップロード プロセスを再実行する前にファイルを圧縮してみてください。 圧縮ファイルがまだ大きすぎる場合は、より小さな結果セットを生成するように分析を構成する必要があります。 ### 分析されるコードの量 結果が多すぎる場合は、最も重要なコードのみを分析するように分析を構成する必要があります。 * インタープリター言語の場合は、リポジトリに多くのテスト、デモ、またはベンダーの依存関係が含まれているかどうかをチェックします。その際、アラートの修正の優先度が低くなります。 このコードを分析から除外してみてください。 詳細については、「[インタープリター言語の分析からコードを除外する](#excluding-code-from-analysis-for-interpreted-languages)」を参照してください。 * コンパイル型言語の場合は、ビルド プロセスでコードの複数のバリアント (たとえば、複数の運用環境またはアーキテクチャのターゲット) が生成されるかどうかをチェックします。 最初に、コードの 1 つのバリアントのみを分析してみてください。 詳細については、「[ビルド コマンドの最適化](#optimizing-the-build-command)」を参照してください。 ### クエリ実行の数 それでも結果が多すぎる場合は、コードの分析に使うクエリの数をチェックします。 実行するクエリの数を減らしてみてください。 最初のアラートを修正したら、追加のクエリを再導入できます。 たとえば、 CodeQL 分析の場合は、既定のクエリ スイートのみを実行できます。 詳しくは、「[コード スキャンのワークフロー構成オプション](/ja/code-security/reference/code-scanning/workflow-configuration-options#using-queries-in-ql-packs)」をご覧ください。 ### クエリで見つかる結果の数 コードベースに特定のコーディング スタイルがある、または分析で特定のライブラリが理解されていないなどの理由により、1 つのクエリで多くの結果が報告されることがあります。 SARIF ビューアーで結果ファイルをレビューして、結果の分布を確認できます。 たとえば、「 」のように入力します。 * 1 つのクエリによって特定されるアラートで結果が占められているかどうかを確認します。 分析からそのクエリを除外してみてください。 他のアラートを修正したときに、それを再導入できます。 CodeQLクエリ構成の詳細については、「[分析からのクエリの除外」を](#excluding-a-query-from-analysis)参照してください。 * 多くの深いパスを持つデータフロー クエリがあるかどうかを確認します。 出力からデータフロー パスを省略してみてください。 CodeQL分析構成の詳細については、「[出力からのデータフロー パスの省略」を](#omitting-dataflow-paths-from-the-output)参照してください。 ## 問題を修正する 以下のオプションは、複雑さの順で記載されています。 結果の数を管理可能なサイズに減らすように、構成を変更する必要があります。 これらのアラートをすべて修正したら、構成を更新して、より多くのコードをカバーしたり、より多くのクエリを実行したりするように分析を拡張できます。 ### インタープリター言語の分析からコードを除外する 非運用コードを分析から除外することは、結果ファイルのサイズを小さくする簡単な方法です。 * CodeQL code scanningの詳細設定: ワークフロー ファイルで`paths`と`paths-ignore`を使用して、分析するコードを指定します。 詳しくは、「[コード スキャンのワークフロー構成オプション](/ja/code-security/reference/code-scanning/workflow-configuration-options#specifying-directories-to-scan)」をご覧ください。 * CodeQL CLI `database create`: 同じ構文を使用してコード スキャン用の YAML 構成ファイルを作成し、分析するコードを定義します。 `database create` コマンドを更新し、`--codescanning-config` オプションを使ってこの構成ファイルを呼び出すようにします。 詳しくは、「[コード スキャンのワークフロー構成オプション](/ja/code-security/reference/code-scanning/workflow-configuration-options#specifying-directories-to-scan)」をご覧ください。 ### ビルド コマンドの最適化 1 つのバリアントのみをコンパイルするビルド コマンドを使うことは、結果ファイルのサイズを小さくする簡単な方法です。 * CodeQL code scanningの詳細設定: 選択したビルド コマンドを指定するようにワークフロー ファイルを更新します。 詳しくは、「[コンパイル済み言語の CodeQL コード スキャン](/ja/code-security/how-tos/find-and-fix-code-vulnerabilities/manage-your-configuration/codeql-for-compiled-languages#specify-build-steps-manually)」をご覧ください。 * CodeQL CLI `database create`: `database create` オプションを使用して `--command` コマンドを呼び出すか、コード スキャン用の YAML 構成ファイルでビルド コマンドを定義し、`--codescanning-config` オプションを使用してファイルを呼び出すことによって、選択したビルド コマンドを指定します。 詳しくは、「[CodeQL 分析用コードを準備する](/ja/code-security/tutorials/customize-code-scanning/prepare-code-for-analysis#specifying-build-commands)」をご覧ください。 ### 実行するクエリ スイートの定義 既に既定のセキュリティ クエリのみを実行しているかもしれませんが、チェックする価値があります。 * CodeQL code scanningの詳細設定: ワークフロー ファイルで `queries` キーワードを確認します。 存在しない場合は、既定のクエリ スイートのみが実行されます。 存在する場合は、それにより実行するクエリが定義されます。 ワークフロー ファイルのこの行をコメントアウトしてみてください。 詳しくは、「[コード スキャンのワークフロー構成オプション](/ja/code-security/reference/code-scanning/workflow-configuration-options#using-queries-in-ql-packs)」をご覧ください。 * CodeQL CLI `database analyze`: データベース分析コマンドで、クエリ、クエリ スイート、またはクエリ パックを指定するパスを確認します。 存在しない場合は、既定のクエリ スイートのみが実行されます。 存在する場合は、それらによって実行するクエリが定義されます。それらを呼び出しから削除してみてください。 詳しくは、「[CodeQL クエリによるコード分析](/ja/code-security/tutorials/customize-code-scanning/analyze-code#running-a-codeql-query-pack)」をご覧ください。 ### 分析からクエリを除外する 1 つのルールに対する結果で結果が占められている場合は、そのルールを分析から除外することが最善の解決策となる場合があります。 * CodeQL code scanningの詳細設定: `query-filters` キーワードを使用して、分析から 1 つ以上のクエリを除外します。 詳しくは、「[コード スキャンのワークフロー構成オプション](/ja/code-security/reference/code-scanning/workflow-configuration-options#excluding-specific-queries-from-analysis)」をご覧ください。 * CodeQL CLI `database analyze`: データベース分析コマンドを更新して、分析から 1 つ以上のクエリを除外します。 詳しくは、「[CodeQL クエリによるコード分析](/ja/code-security/tutorials/customize-code-scanning/analyze-code#running-a-subset-of-queries-in-a-codeql-pack)」をご覧ください。 または、[filter-sarif](https://github.com/advanced-security/filter-sarif) アクションなどのツールを使って、除外パターンによって特定の検出を除外するように SARIF ファイルを書き換えることもできます。 ### 出力からデータフロー パスを省略してみてください SARIF 結果で多くの深いコード パスが強調されている場合は、各アラートで報告されるパスの数を減らすことができます。 * CodeQL code scanningの詳細設定: `analyze`の手順を更新して、パスの数を最大 1 または 0 に制限します。 ```yaml - name: Perform CodeQL Analysis uses: github/codeql-action/analyze@v4 env: CODEQL_ACTION_EXTRA_OPTIONS: '{"database":{"interpret-results":["--max-paths", 1]}}' ``` * CodeQL CLI `database analyze`: データベース分析コマンドを更新して、 `--max-paths=1` フラグを含めます。 詳しくは、「[データベース分析](/ja/code-security/reference/code-scanning/codeql/codeql-cli-manual/database-analyze#--max-pathsmaxpaths)」をご覧ください。 > \[!NOTE] > `max-paths` 設定は、すべてのデータフロー クエリの結果に影響します。 ## 詳細については、次を参照してください。 * [Code scanningの SARIF サポート](/ja/code-security/reference/code-scanning/sarif-files/sarif-support)