{"meta":{"title":"Salida SARIF de la CLI de CodeQL","intro":"Puedes generar una salida SARIF desde la CodeQL CLI y compartir los resultados de análisis estático con otros sistemas.","product":"Seguridad y calidad del código","breadcrumbs":[{"href":"/es/enterprise-cloud@latest/code-security","title":"Seguridad y calidad del código"},{"href":"/es/enterprise-cloud@latest/code-security/reference","title":"Referencia"},{"href":"/es/enterprise-cloud@latest/code-security/reference/code-scanning","title":"Análisis de código"},{"href":"/es/enterprise-cloud@latest/code-security/reference/code-scanning/codeql","title":"CodeQL"},{"href":"/es/enterprise-cloud@latest/code-security/reference/code-scanning/codeql/codeql-cli","title":"CLI de CodeQL"},{"href":"/es/enterprise-cloud@latest/code-security/reference/code-scanning/codeql/codeql-cli/sarif-output","title":"Salida SARIF de la CLI de CodeQL"}],"documentType":"article"},"body":"# Salida SARIF de la CLI de CodeQL\n\nPuedes generar una salida SARIF desde la CodeQL CLI y compartir los resultados de análisis estático con otros sistemas.\n\n## Acerca de la salida de SARIF\n\nSARIF es un formato diseñado para representar la salida de una amplia variedad de herramientas de análisis estático, y hay muchas características en la especificación SARIF que se consideran \"opcionales\". En este documento se explica la salida generada al usar el tipo de formato `sarifv2.1.0`, que corresponde a la especificación SARIF v2.1.0.csd1. Para obtener más información sobre cómo seleccionar un formato de archivo para los resultados del análisis, consulta [análisis de base de datos](/es/enterprise-cloud@latest/code-security/codeql-cli/codeql-cli-manual/database-analyze).\n\n## Especificación y esquema SARIF\n\nEste artículo debe leerse junto con la especificación SARIF detallada. Para obtener más información sobre la especificación y el esquema SARIF, consulta la [documentación sobre la especificación SARIF](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html).\n\n## Notas de cambios\n\n### Cambios entre versiones\n\n| CodeQL versión | Tipo de formato | Changes |\n| -------------- | --------------- | -------------------------------- |\n| 2.0.0 | `sarifv2.1.0` | Primera versión de este formato. |\n\n### Futuros cambios en la salida de datos\n\nLa salida generada para un tipo de formato específico (por ejemplo, `sarifv2.1.0`) puede cambiar en futuras versiones de CodeQL. Nos esforzaremos por mantener la compatibilidad con versiones anteriores para los consumidores de la salida SARIF generada; para ello nos aseguraremos de que:\n\n* Los campos marcados como siempre generados nunca se quitarán.\n\n* En el caso de los campos marcados como no siempre generados, las circunstancias en las que se generan los campos pueden cambiar. Los consumidores de salidas SARIF de CodeQL deben ser sólidos frente a la presencia o ausencia de estos campos.\n\nSe pueden agregar nuevos campos de salida en futuras versiones con el mismo tipo de formato; no se considera que estos campos interrumpan la compatibilidad con versiones anteriores y los consumidores deben ser sólidos frente a la adición de nuevos campos.\n\nSe pueden agregar nuevos tipos de argumentos de formato en versiones futuras de CodeQL, por ejemplo, para admitir nuevas versiones de SARIF. Estos tipos no ofrecen ninguna garantía de compatibilidad con versiones anteriores, a menos que se indique explícitamente.\n\n## Objetos SARIF generados\n\nAquí se detallan los componentes SARIF que se pueden generar, así como las circunstancias específicas. Se han omitido las propiedades que no se generan nunca.\n\n### Objeto `sarifLog`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------- |\n| `$schema` | | Proporciona un vínculo al [esquema SARIF](https://docs.oasis-open.org/sarif/sarif/v2.1.0/errata01/os/schemas/sarif-schema-2.1.0.json). |\n| `version` | | La versión de SARIF utilizada para generar el resultado. |\n| `runs` | | Una matriz que contiene un único objeto de ejecución para un lenguaje. |\n\n### Objeto `run`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------ |\n| `tool` | | Ninguno |\n| `artifacts` | | Una matriz que contiene al menos un objeto de artefacto para cada archivo referido en un resultado. |\n| `results` | | Ninguno |\n| `newLineSequences` | | Ninguno |\n| `columnKind` | | Ninguno |\n| `properties` | | El diccionario de propiedades contendrá el elemento `semmle.formatSpecifier`, que identifica el especificador de formato pasado a la CodeQL CLI. |\n\n### Objeto `tool`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------- |\n| `driver` | | Ninguno |\n\n### Objeto `toolComponent`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `name` | | Propiedad establecida en \"Cadena de herramientas de línea de comandos de CodeQL\" para la salida de las herramientas de la CodeQL CLI. Ten en cuenta que, si la salida se ha generado mediante una herramienta diferente, se notifica una propiedad `name` diferente, y es posible que el formato no sea como el descrito aquí. |\n| `organization` | | Establecido en \"GitHub\". |\n| `version` | | Propiedad establecida en la versión de CodeQL, por ejemplo, \"2.0.0\". |\n| `rules` | | Matriz de objetos `reportingDescriptor` que representan reglas. Esta matriz contendrá, como mínimo, todas las reglas que se han ejecutado durante el análisis, aunque también puede contener reglas que estaban disponibles pero no se han ejecutado. Obtén más información sobre cómo habilitar las consultas en `defaultConfiguration`. |\n\n### Objeto `reportingDescriptor` (para regla)\n\nLos objetos `reportingDescriptor` se pueden usar en varios lugares en la especificación SARIF. Cuando se incluye un objeto `reportingDescriptor` en la matriz de reglas de un objeto `toolComponent`, sus propiedades son las siguientes.\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `id` | | Contendrá la propiedad `@id` especificada en la consulta que define la regla, y suele tener el formato `language/rule-name` (por ejemplo, `cpp/unsafe-format-string`). Si su organización define la propiedad `@opaqueid` en la consulta, esta se usará. |\n| `name` | | Contendrá la propiedad `@id` especificada en la consulta. Consulta la propiedad `id` más arriba para obtener un ejemplo. |\n| `shortDescription` | | Contendrá la propiedad `@name` especificada en la consulta que define la regla. |\n| `fullDescription` | | Contendrá la propiedad `@description` especificada en la consulta que define la regla. |\n| `defaultConfiguration` | | Un objeto `reportingConfiguration`, con la propiedad habilitada establecida en \"true\" o \"false\", y una propiedad de nivel establecida según la propiedad `@severity` especificada en la consulta que define la regla. Se omite si no se ha especificado la propiedad `@severity`. |\n\n### Objeto `artifact`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `location` | | Un objeto `artifactLocation`. |\n| `index` | | El índice del objeto `artifact`. |\n| `contents` | | Si los resultados se generan usando la marca `--sarif-add-file-contents` y el código fuente está disponible en el momento en que se genera el archivo SARIF, la propiedad `contents` se rellena con un objeto `artifactContent`, con la propiedad `text` establecida. |\n\n### Objeto `artifactLocation`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |\n| `uri` | | Ninguno |\n| `index` | | Ninguno |\n| `uriBaseId` | | Si el archivo guarda relación con alguna ubicación abstracta conocida, como la ubicación del origen raíz en la máquina de análisis, se establecerá esta ubicación. |\n\n### Objeto `result`\n\nLa composición de los resultados depende de las opciones proporcionadas a CodeQL. De forma predeterminada, los resultados se agrupan por cadena de formato de mensaje única y ubicación principal. Por lo tanto, dos resultados que se produzcan en la misma ubicación con el mismo mensaje subyacente, se mostrarán como un único resultado en la salida. Este comportamiento se puede deshabilitar mediante la marca `--ungroup-results`, en cuyo caso no se agrupará ningún resultado.\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `ruleId` | | Consulta la descripción de la propiedad `id` en el objeto `reportingDescriptor` (para reglas). |\n| `ruleIndex` | | Ninguno |\n| `message` | | Un mensaje que describe los problemas encontrados en esta ubicación. Este mensaje puede ser un \"mensaje con marcador de posición\" con formato SARIF que contiene vínculos a ubicaciones de la propiedad `relatedLocations`. |\n| `locations` | | Una matriz que contiene un único objeto `location`. |\n| `partialFingerprints` | | Diccionario de tipos de huellas digitales con nombre para la huella digital. Como mínimo, contendrá un valor para `primaryLocationLineHash`, que proporciona una huella digital basada en el contexto de la ubicación principal. |\n| `codeFlows` | | Esta matriz se puede rellenar con uno o varios objetos `codeFlow` si la consulta que define la regla para este resultado es de tipo `@kind path-problem`. |\n| `relatedLocations` | | Esta matriz se rellenará si la consulta que define la regla para este resultado tiene un mensaje con opciones de marcador de posición. Cada ubicación única se incluye una vez. |\n| `suppressions` | | Si se suprime el resultado, esta propiedad contendrá un solo objeto `suppression`, con la propiedad `@kind` establecida en `IN_SOURCE`. Si este resultado no se suprime, pero hay al menos un resultado suprimido, esto se establecerá en una matriz vacía; de lo contrario, no se establecerá. |\n\n### Objeto `location`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |\n| `physicalLocation` | | Ninguno |\n| `id` | | Los objetos `location` que aparecen en la matriz `relatedLocations` de un objeto `result`pueden contener la propiedad `id`. |\n| `message` | | Los objetos `location` pueden contener la propiedad `message` si:- Aparecen en la matriz `relatedLocations` de un objeto `result` que puede contener la propiedad `message`.- Aparecen en la propiedad `threadFlowLocation.location`. |\n\n### Objeto `physicalLocation`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |\n| `artifactLocation` | | Ninguno |\n| `region` | | Si el objeto `physicalLocation` especificado existe en un archivo de texto, como un archivo de código fuente, entonces la propiedad `region` puede estar presente. |\n| `contextRegion` | | Puede estar presente si esta ubicación tiene una `snippet` asociada. |\n\n### Objeto `region`\n\nCodeQL genera dos tipos de objeto `region`:\n\n* Regiones de desfase de línea/columna\n\n* Regiones de longitud y desplazamiento de caracteres\n\nCualquier región generada por CodeQL se puede especificar en cualquiera de los dos formatos, y los consumidores deben controlar de forma sólida cualquiera de los dos tipos.\n\nEn el caso de las regiones de desplazamiento de línea/columna, se establecerán las siguientes propiedades:\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------- |\n| `startLine` | | Ninguno |\n| `startColumn` | | No se incluye si es igual al valor predeterminado 1. |\n| `endLine` | | No se incluye si es igual a `startLine`. |\n| `endColumn` | | Ninguno |\n| `snippet` | | Ninguno |\n\nPara las regiones de longitud y desplazamiento de caracteres, se establecerán las siguientes propiedades:\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- |\n| `charOffset` | | Siempre y cuando no se rellenen las propiedades `startLine`, `startColumn`, `endLine` y `endColumn`. |\n| `charLength` | | Siempre y cuando no se rellenen las propiedades `startLine`, `startColumn`, `endLine` y `endColumn`. |\n| `snippet` | | Ninguno |\n\n### Objeto `codeFlow`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------- |\n| `threadFlows` | | Ninguno |\n\n### Objeto `threadFlow`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------- |\n| `locations` | | Ninguno |\n\n### Objeto `threadFlowLocation`\n\n| Nombre de la propiedad JSON | ¿Siempre se genera? | Notas |\n| --------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------- |\n| `location` | | Ninguno |"}