CodeQL 2.27.2 改进 C++、Go、Rust 与 JavaScript 分析能力

CodeQL 2.27.2 现已发布，新增了一个 C++ 正则表达式解析器，并带来多个语言的分析改进。

CodeQL 是 GitHub 代码扫描背后的静态分析引擎，它帮助你发现并修复代码中的安全问题。

默认套件运行 498 个安全查询，覆盖 170 个 CWE。

扩展套件增加了 131 个查询，额外覆盖 32 个 CWE。

CodeQL 现在可以解析 std::regex 中使用 ECMAScript 语法的正则表达式。

我们为 Comdb2 C API 添加了 SQL 注入汇聚点模型，并为 Bloomberg BDE 编解码器和字节流反序列化器添加了流摘要。

除 nhooyr.io/websocket 之外，CodeQL 现在还对 github.com/coder/websocket 导入路径建模。

Rust 提取器现在支持 AnyAttr 和 DocComment 类。

我们改进了与 await 一起使用的 async 块的数据流，并为 native-tls、async-native-tls 和 tokio-native-tls 添加了流摘要。

CodeQL 现在能识别 Workflow SDK 的“use workflow”和“use step”指令。

我们通过自定义路由注册辅助函数和高阶函数，改进了 Hapi 路由处理器和请求输入的追踪。

随着 macOS 27 和 Xcode 27 的发布，Apple 停止提供多架构 x86-64/arm64 二进制文件。

CodeQL 执行追踪分析需要这些二进制文件。

因此，在 macOS 27 上搭配任何 Xcode 版本，以及在 macOS 26 上选择 Xcode 27 时，CodeQL 的自动构建和手动构建模式将不再支持编译型语言。

使用这些构建模式时，请最多使用 macOS 26 和 Xcode 26。

我们也在努力改进 macOS 上对构建模式 none 的支持，以帮助缓解这一限制。

cs/web/missing-x-frame-options 查询现在将 ASP.NET Core 响应头和内容安全策略 frame-ancestors 指令识别为点击劫持防护。

cs/web/xss 查询不再将使用 WriteLiteral 写入的 Razor 标签助手属性值视为 XSS 汇聚点。

你现在可以通过添加以 ! 为前缀的条目（例如 !github），从 actions/unpinned-tag 查询使用的受信任集合中移除所有者。

这让你可以报告第一方所有者的未固定标签。

CodeQL 2.27.2 发布，新增 C++ 正则表达式解析器并改进多语言分析：默认套件 498 条安全查询覆盖 170 个 CWE，扩展套件再加 131 条查询覆盖 32 个 CWE；同时补上 Comdb2 SQL 注入汇聚点、Bloomberg BDE 与字节流反序列化流摘要、Rust 提取器类支持、Workflow SDK 指令识别、Hapi 路由追踪等模型。另有一条硬限制：macOS 27 搭配任何 Xcode 版本、以及 macOS 26 搭配 Xcode 27 时，编译型语言的自动构建与手动构建模式不再受支持。

• CodeQL 2.27.2 发布，新增 C++ 正则表达式解析器并改进多语言分析：默认套件 498 条安全查询覆盖 170 个 CWE，扩展套件再加 131 条查询覆盖 32 个 CWE；同时补上 Comdb2 SQL 注入汇聚点、Bloomberg BDE 与字节流反序列化流摘要、Rust 提取器类支持、Workflow SDK 指令识别、Hapi 路由追踪等模型。另有一条硬限制：macOS 27 搭配任何 Xcode 版本、以及 macOS 26 搭配 Xcode 27 时，编译型语言的自动构建与手动构建模式不再受支持。
• 原贴提到：CodeQL 2.27.2 is now available, adding a C++ regular-expression parser a
• 来源：github.blog

这是什么信号

这是 GitHub 对 CodeQL 2.27.2 的一次常规但信息量很大的版本更新。CodeQL 是 GitHub code scanning 背后的静态分析引擎，也就是说，这条更新的实际作用范围不是某个独立工具，而是 GitHub 上代码扫描的告警底座。本次更新一边扩大语言与框架的覆盖模型（C++ 正则、Go/Rust/JavaScript 相关路径与框架），一边调整了部分查询的判定口径，同时还抛出了一条 macOS/Xcode 构建环境的硬性限制。

量级上，默认套件运行 498 条安全查询、覆盖 170 个 CWE，扩展套件再加 131 条查询、额外覆盖 32 个 CWE。这两个数字是理解后续判读的基础：默认与扩展套件的选择，直接决定扫描面宽度和告警噪声水平。

为什么重要

第一，覆盖面的变化会直接改变“能不能扫出来”。新增 C++ 对 std::regex 中 ECMAScript 语法正则的解析、Comdb2 C API 的 SQL 注入汇聚点模型、Bloomberg BDE 编解码器与字节流反序列化器的流摘要、github.com/coder/websocket 导入路径建模、Rust 提取器对 AnyAttr 和 DocComment 的支持、async 块与 native-tls 系列流摘要、Workflow SDK 指令识别、Hapi 路由处理器与请求输入追踪——这些都是在补齐此前的分析盲区，盲区存在时漏洞是漏报而不是误报，更难发现。

第二，判定口径的调整会影响现有告警基数。cs/web/missing-x-frame-options 开始把 ASP.NET Core 响应头和 CSP frame-ancestors 识别为点击劫持防护，意味着部分原本报出来的告警会消失；cs/web/xss 不再把 WriteLiteral 写入的 Razor 标签助手属性值当作 XSS 汇聚点，同样是减少误报。这类变化对已经建立了告警基线和门禁阈值的团队，需要重新校准。

第三，macOS 构建限制是真正会挡住流水线的问题。Apple 停止随 macOS 27 和 Xcode 27 发布多架构 x86-64/arm64 二进制，而 CodeQL 的追踪分析依赖它们，因此编译型语言在 macOS 27（任意 Xcode）以及 macOS 26 搭配 Xcode 27 时，autobuild 和 manual build 模式都不受支持。官方给的最多到 macOS 26 与 Xcode 26，缓解方向是改进 macOS 上的 build mode none，但仍在进行中。

第四，actions/unpinned-tag 支持用 ! 前缀把某个 owner 从受信任集合中移除（例如 !github），这给了团队在第一方所有者未固定标签上报与噪声控制之间做取舍的开关。

对谁有价值

直接受益的是三类角色：一是负责 GitHub Advanced Security / code scanning 的安全工程师和 AppSec 团队，他们关心的是查询覆盖与误报率；二是同时维护 C++、Rust、Go、JavaScript 多语言仓库的研发团队，本次多数改动落在这些语言的提取器与框架模型上；三是在 CI 里做安全门禁的平台或 DevOps 团队，尤其是构建机跑在 macOS 上的团队，需要立刻核对系统与 Xcode 版本组合。

可以怎么行动

建议按顺序做四件事：其一，核对当前流水线使用的 CodeQL 版本与运行环境，特别是 macOS 构建机的 macOS 与 Xcode 组合，避免升级后编译型语言分析直接不可用；其二，升级后在代表性仓库上跑一次基线对比，重点看告警总数是升是降，找出属于本次判定口径变化的项目；其三，对照本次新增的模型清单，检查自家技术栈是否命中——用了 std::regex、Comdb2、Bloomberg BDE、coder/websocket、native-tls 系列、Workflow SDK 或 Hapi 的项目应优先验证；其四，评估是否用 ! 前缀排除第一方 owner，把 actions/unpinned-tag 的注意力留给真正的第三方依赖风险。

风险与限制

最需要警惕的是 macOS 27 与 Xcode 27 相关的构建模式限制，官方给出的可行组合是至多 macOS 26 加 Xcode 26，现阶段没有等价的完整替代，build mode none 的 macOS 支持仍在改进。其次，查询规则的增删改都会带来告警数量的波动，如果把门禁阈值写死，可能在同一份代码上出现误堵或放行。第三，本次新增模型集中在特定库、框架和导入路径上，未被建模的路径依然存在漏报空间，覆盖清单不等于覆盖全部风险。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 github.blog 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《CodeQL 2.27.2 改进 C++、Go、Rust 与 JavaScript 分析能力》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

• Allison 原帖