{"meta":{"title":"SARIF-Ausgabe der CodeQL CLI","intro":"Du kannst SARIF aus der CodeQL CLI ausgeben und statische Analyseergebnisse mit anderen Systemen teilen.","product":"Sicherheit und Codequalität","breadcrumbs":[{"href":"/de/code-security","title":"Sicherheit und Codequalität"},{"href":"/de/code-security/reference","title":"Reference"},{"href":"/de/code-security/reference/code-scanning","title":"Codeüberprüfung"},{"href":"/de/code-security/reference/code-scanning/codeql","title":"CodeQL"},{"href":"/de/code-security/reference/code-scanning/codeql/codeql-cli","title":"CodeQL-Befehlszeilenschnittstelle"},{"href":"/de/code-security/reference/code-scanning/codeql/codeql-cli/sarif-output","title":"SARIF-Ausgabe der CodeQL CLI"}],"documentType":"article"},"body":"# SARIF-Ausgabe der CodeQL CLI\n\nDu kannst SARIF aus der CodeQL CLI ausgeben und statische Analyseergebnisse mit anderen Systemen teilen.\n\n## Informationen zur SARIF-Ausgabe\n\nSARIF wurde entwickelt, um die Ausgabe einer breiten Palette statischer Analysetools darzustellen, und es gibt viele Features in der SARIF-Spezifikation, die als „optional“ betrachtet werden. In diesem Dokument wird die Ausgabe beschrieben, die bei Verwendung des Formattyps `sarifv2.1.0` erzeugt wird, der der SARIF v2.1.0.csd1-Spezifikation entspricht. Weitere Informationen zur Auswahl eines Dateiformats für Ihre Analyseergebnisse finden Sie unter [Datenbankanalyse](/de/code-security/codeql-cli/codeql-cli-manual/database-analyze).\n\n## SARIF-Spezifikation und -Schema\n\nDieser Artikel sollte zusammen mit der detaillierten SARIF-Spezifikation gelesen werden. Weitere Informationen zur Spezifikation und zum SARIF-Schema findest du in der [SARIF-Spezifikationsdokumentation](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html).\n\n## Ändern von Notizen\n\n### Änderungen zwischen Versionen\n\n| CodeQL-Version | Formattyp | Changes |\n| -------------- | ------------- | ---------------------------- |\n| 2.0.0 | `sarifv2.1.0` | Erste Version dieses Formats |\n\n### Zukünftige Änderungen an der Ausgabe\n\nDie Ausgabe, die für einen bestimmten Formattyp (z. B. `sarifv2.1.0`) erzeugt wird, kann sich in zukünftigen CodeQL-Releases ändern. Unser Ziel ist es, die Abwärtskompatibilität mit Consumern des generierten SARIF-Formats aufrechtzuerhalten, indem Folgendes sichergestellt wird:\n\n* Felder, die als „immer generiert“ gekennzeichnet sind, werden nie entfernt.\n\n* Bei Feldern, die als „nicht immer generiert“ gekennzeichnet sind, können sich die Umstände, unter denen die Felder generiert werden, ändern. Consumer der SARIF-Ausgabe von CodeQL sollten gegenüber dem Vorhandensein oder Fehlen dieser Felder robust sein.\n\nNeue Ausgabefelder können in zukünftigen Versionen unter demselben Formattyp hinzugefügt werden. Diese sollen die Abwärtskompatibilität nicht unterbrechen, und Consumer sollten gegenüber neu hinzugefügter Felder robust sein.\n\nNeue Formatargumenttypen können in zukünftigen Versionen von CodeQL hinzugefügt werden, z. B. zur Unterstützung neuer Versionen von SARIF. Diese haben keine Garantie für eine Abwärtskompatibilität, es sei denn, dies ist explizit dokumentiert.\n\n## Generierte SARIF-Objekte\n\nHier werden die einzelnen SARIF-Komponenten, die generiert werden können, sowie alle spezifischen Umstände detailliert beschrieben. Es werden alle Eigenschaften ausgelassen, die nie generiert werden.\n\n###\n\n```\n `sarifLog`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------- |\n| `$schema` | | Stellt einen Link zum [SARIF-Schema](https://docs.oasis-open.org/sarif/sarif/v2.1.0/errata01/os/schemas/sarif-schema-2.1.0.json) bereit |\n| `version` | | Die SARIF-Version, die zum Generieren der Ausgabe verwendet wurde |\n| `runs` | | Ein Array, das ein einzelnes Ausführungsobjekt für eine Sprache enthält |\n\n###\n\n```\n `run`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------- |\n| `tool` | | Nichts |\n| `artifacts` | | Ein Array, das mindestens ein Artefaktobjekt für jede Datei enthält, auf die in einem Ergebnis verwiesen wird |\n| `results` | | Nichts |\n| `newLineSequences` | | Nichts |\n| `columnKind` | | Nichts |\n| `properties` | | Das Eigenschaftenwörterbuch enthält den `semmle.formatSpecifier`, der den an die CodeQL CLI übergebenen Formatbezeichner identifiziert |\n\n###\n\n```\n `tool`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------- |\n| `driver` | | Nichts |\n\n###\n\n```\n `toolComponent`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `name` | | Auf „Befehlszeilentoolkette von CodeQL“ für die Ausgabe aus den CodeQL CLI-Tools festgelegt. Hinweis: Wenn die Ausgabe mit einem anderen Tool generiert wurde, wird ein anderer `name` gemeldet, und das Format sieht möglicherweise anders aus wie hier beschrieben. |\n| `organization` | | Auf „GitHub“ festgelegt |\n| `version` | | Auf die CodeQL-Releaseversion festgelegt, zum Beispiel „2.0.0“ |\n| `rules` | | Array von `reportingDescriptor`-Objekten, die Regeln darstellen. Dieses Array enthält mindestens alle Regeln, die während dieser Analyse ausgeführt wurden, enthält aber möglicherweise auch Regeln, die verfügbar waren, aber nicht ausgeführt werden. Weitere Informationen zum Aktivieren von Abfragen findest du unter `defaultConfiguration`. |\n\n###\n\n```\n `reportingDescriptor`-Objekt (für Regel)\n\n `reportingDescriptor`-Objekte können in der SARIF-Spezifikation an mehreren Stellen verwendet werden. Wenn ein `reportingDescriptor` im Regelarray eines `toolComponent`-Objekts enthalten ist, verfügt es über die folgenden Eigenschaften.\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `id` | | Enthält die in der Abfrage angegebene Eigenschaft `@id`, die eine Regel definiert, die normalerweise das Format `language/rule-name` aufweist (z. B. `cpp/unsafe-format-string`). Wenn deine Organisation die `@opaqueid`-Eigenschaft in der Abfrage definiert, wird sie stattdessen verwendet. |\n| `name` | | Enthält die in der Abfrage angegebene `@id`-Eigenschaft. Ein Beispiel findest du in der obigen `id`-Eigenschaft. |\n| `shortDescription` | | Enthält die in der Abfrage angegebene `@name`-Eigenschaft, die die Regel definiert |\n| `fullDescription` | | Enthält die in der Abfrage angegebene `@description`-Eigenschaft, die die Regel definiert |\n| `defaultConfiguration` | | Ein `reportingConfiguration`-Objekt mit aktivierter Eigenschaft, die auf TRUE oder FALSE festgelegt ist, und einer Ebeneneigenschaft, die gemäß der in der Abfrage angegebenen `@severity`-Eigenschaft festgelegt ist, die die Regel definiert. Es wird nicht angegeben, wenn die `@severity`-Eigenschaft nicht angegeben wurde. |\n\n###\n\n```\n `artifact`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |\n| `location` | | Ein `artifactLocation`-Objekt. |\n| `index` | | Der Index des `artifact`-Objekts. |\n| `contents` | | Wenn Ergebnisse mithilfe des `--sarif-add-file-contents`-Flags generiert werden und der Quellcode zum Zeitpunkt der Generierung der SARIF-Datei verfügbar ist, wird die `contents`-Eigenschaft mit einem `artifactContent`-Objekt aufgefüllt, wobei die `text`-Eigenschaft festgelegt ist. |\n\n###\n\n```\n `artifactLocation`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ |\n| `uri` | | Nichts |\n| `index` | | Nichts |\n| `uriBaseId` | | Wenn die Datei relativ zu einem bekannten abstrakten Speicherort ist, z. B. dem Stammquellenspeicherort auf dem Analysecomputer, wird dies festgelegt. |\n\n###\n\n```\n `result`-Objekt\n```\n\nDie Zusammensetzung der Ergebnisse richtet sich nach den Optionen, die für CodeQL angegeben werden. Standardmäßig werden die Ergebnisse nach eindeutiger Nachrichtenformatzeichenfolge und primärem Speicherort gruppiert. Daher werden zwei Ergebnisse, die am gleichen Speicherort mit der gleichen zugrunde liegenden Nachricht auftreten, als einzelnes Ergebnis in der Ausgabe angezeigt. Dieses Verhalten kann mithilfe des Flags `--ungroup-results`deaktiviert werden. In diesem Fall werden keine Ergebnisse gruppiert.\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `ruleId` | | Weitere Informationen findest du in der Beschreibung der `id`-Eigenschaft im `reportingDescriptor`-Objekt (für Regel). |\n| `ruleIndex` | | Nichts |\n| `message` | | Eine Meldung, die die Probleme beschreibt, die an diesem Speicherort auftreten. Diese Meldung kann eine SARIF-Nachricht mit Platzhalter sein, die Links enthält, die auf Speicherorte in der `relatedLocations`-Eigenschaft verweisen. |\n| `locations` | | Ein Array, das ein einzelnes `location`-Objekt enthält |\n| `partialFingerprints` | | ein Wörterbuch aus benannten Fingerabdrucktypen für den Fingerabdruck. Es enthält mindestens einen Wert für `primaryLocationLineHash`, womit ein Fingerabdruck basierend auf dem Kontext des primären Speicherorts bereitgestellt wird. |\n| `codeFlows` | | Dieses Array kann mit einem oder mehreren `codeFlow`-Objekten aufgefüllt werden, wenn die Abfrage, die die Regel für dieses Ergebnis definiert, von `@kind path-problem`ist. |\n| `relatedLocations` | | Dieses Array wird aufgefüllt, wenn die Abfrage, die die Regel für dieses Ergebnis definiert, eine Nachricht mit Platzhalteroptionen enthält. Jeder eindeutige Standort ist einmal enthalten. |\n| `suppressions` | | Wenn das Ergebnis unterdrückt wird, enthält dieses ein einzelnes `suppression`-Objekt, wobei die `@kind`-Eigenschaft auf `IN_SOURCE` festgelegt ist. Wenn dieses Ergebnis nicht unterdrückt wird, aber mindestens ein Ergebnis eine Unterdrückung aufweist, wird dieses auf ein leeres Array festgelegt, andernfalls wird es nicht festgelegt. |\n\n###\n\n```\n `location`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------- |\n| `physicalLocation` | | Nichts |\n| `id` | | |\n\n```\n `location`-Objekte, die im `relatedLocations`-Array eines `result`-Objekts angezeigt werden, können die `id`-Eigenschaft enthalten.|\n```\n\n\\| `message`| |\n`location`-Objekte können die `message`-Eigenschaft enthalten, wenn:– sie im `relatedLocations`-Array eines `result`-Objekts angezeigt werden und die `message`-Eigenschaft enthalten können.– sie in der `threadFlowLocation.location`-Eigenschaft angezeigt werden.|\n\n###\n\n```\n `physicalLocation`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `artifactLocation` | | Nichts |\n| `region` | | Wenn die angegebene `physicalLocation` in einer Textdatei vorhanden ist, z. B. in einer Quellcodedatei, ist die `region`-Eigenschaft möglicherweise vorhanden. |\n| `contextRegion` | | Kann vorhanden sein, wenn dieser Standort über einen zugeordnetes `snippet` verfügt |\n\n###\n\n```\n `region`-Objekt\n```\n\nEs gibt zwei `region`-Objekttypen, die von CodeQL erzeugt werden:\n\n* Linien-/Spaltenoffsetbereiche\n\n* Zeichenoffset- und Längenbereiche\n\nJede Region, die von CodeQL erzeugt wird, kann in beiden Formaten angegeben werden, und Consumer sollten beide Typen robust verarbeiten.\n\nFür Linien-/Spaltenoffsetbereiche werden die folgenden Eigenschaften festgelegt:\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------- |\n| `startLine` | | Nichts |\n| `startColumn` | | Nicht enthalten, wenn Eigenschaft dem Standardwert 1 entspricht |\n| `endLine` | | Nicht enthalten, wenn Eigenschaft identisch mit `startLine` ist |\n| `endColumn` | | Nichts |\n| `snippet` | | Nichts |\n\nFür Zeichenoffset- und Längenbereiche werden die folgenden Eigenschaften festgelegt:\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ |\n| `charOffset` | | Wird angegeben, wenn `startLine`, `startColumn`, `endLine` und `endColumn` nicht aufgefüllt sind |\n| `charLength` | | Wird angegeben, wenn `startLine`, `startColumn`, `endLine` und `endColumn` nicht aufgefüllt sind |\n| `snippet` | | Nichts |\n\n###\n\n```\n `codeFlow`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------- |\n| `threadFlows` | | Nichts |\n\n###\n\n```\n `threadFlow`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------- |\n| `locations` | | Nichts |\n\n###\n\n```\n `threadFlowLocation`-Objekt\n```\n\n| JSON-Eigenschaftenname | Immer generiert? | Hinweise |\n| ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------- |\n| `location` | | Nichts |"}