{"meta":{"title":"コード スキャン用の SARIF ファイルについて","intro":"SARIF ファイルは、サードパーティの分析を GitHubのアラートに変換します。","product":"セキュリティとコードの品質","breadcrumbs":[{"href":"/ja/code-security","title":"セキュリティとコードの品質"},{"href":"/ja/code-security/concepts","title":"Concepts"},{"href":"/ja/code-security/concepts/code-scanning","title":"コード スキャン"},{"href":"/ja/code-security/concepts/code-scanning/sarif-files","title":"SARIF ファイル"}],"documentType":"article"},"body":"# コード スキャン用の SARIF ファイルについて\n\nSARIF ファイルは、サードパーティの分析を GitHubのアラートに変換します。\n\n> \\[!NOTE]\n> code scanningに既定のセットアップを使用する場合、またはGitHub Actionsを使用してCodeQLアクションを実行する高度なセットアップを使用する場合は、SARIF ファイルを操作する必要はありません。 スキャン結果は、 code scanning アラートとして自動的にアップロードおよび解析されます。\n\nSARIF は \\_、静的分析結果交換形式\\_を表します。 これは、静的分析ツールからの結果を格納するための JSON ベースの標準です。\n\n**サードパーティの分析ツールまたは CI/CD システム**を使用してコードの脆弱性をスキャンする場合は、SARIF ファイルを生成してGitHubにアップロードできます。\nGitHub は SARIF ファイルを解析し、 code scanning エクスペリエンスの一部としてリポジトリの結果を使用してアラートを表示します。\n\nGitHub では、SARIF ファイルのプロパティを使用してアラートを表示します。 たとえば、`shortDescription`アラートの上部に`fullDescription`とcode scanningが表示されます。\n`location`を使用すると、GitHubでコード ファイルに注釈を表示できます。\n\nこの記事では、 GitHubでの SARIF ファイルの使用方法について説明します。 SARIF を使い慣れていなく、詳細を確認したい場合は、Microsoft の [`SARIF tutorials`](https://github.com/microsoft/sarif-tutorials) リポジトリを参照してください。\n\n## バージョンの要件\n\nCode scanning では、 [SARIF 2.1.0](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html) JSON スキーマのサブセットがサポートされています。 サード パーティ製ツールの SARIF ファイルでこのバージョンが使用されていることを確認します。\n\n## アップロード メソッド\n\nSARIF ファイルは、 GitHub Actions、 code scanning API、または CodeQL CLIを使用してアップロードできます。 最適なアップロード方法は、SARIF ファイルの生成方法によって異なります。 詳しくは、「[SARIF ファイルを GitHub にアップロードする](/ja/code-security/how-tos/find-and-fix-code-vulnerabilities/integrate-with-existing-tools/upload-sarif-file)」をご覧ください。"}