CodeQL查询时遇到问题

Question

在cmd中使用codeql分析代码，创建数据库这一步成功了，但是分析代码时报错，mvn版本是 3.9.11，jdk版本是17.0.14，codeql版本是2.22.4，使用codeql database analyze D:\myResults\backend-db codeql/java-queries:Security/ --format=csv --output=D:\myResults\result.csv创建csv或者sarif文件都会出现这个报错A fatal error occurred: Could not process query metadata for D:\myResults\backend-db\results\codeql\java-queries\Security\CWE\CWE-020\ExternalAPIsUsedWithUntrustedData.bqrs.
Error was: Unknown kind "Table". [UNSUPPORTED_KIND]，也没有生成相关文件。
然后我尝试使用其自带的标准查询集，确实生成了sarif文件，但是出现以下命令：CodeQL scanned 36 out of 36 Java/Kotlin files in this invocation. Typically CodeQL is configured to analyze a single CodeQL language per invocation, so check other invocations to determine overall coverage information.
Analysis produced the following diagnostic information:

• Low Java analysis quality (1 result):
  • Scanning Java code completed successfully, but the scan encountered issues. This may be caused by problems identifying dependencies or use of generated source code, among other reasons -- see other CodeQL diagnostics reported on the CodeQL status page for more details of possible causes. Addressing these warnings is advisable to avoid false-positive or missing results. If they cannot be addressed, consider scanning Java using either the autobuild or manual build modes.
    我很疑惑前面的命令为什么没法成功，究竟该怎么解决，后面的命令生成了sarif，但是显示质量低，究竟可以用吗，以后也可以用这个查询吗?还有就是我用单独的查询子集查询（没问题的）是可以成功的，我以后要怎么查询呢,--exclude=codeql/java-queries/Security/CWE/CWE-020/这个命令cmd也识别不了，不能排除有问题的子集，不知道该怎么查询了，希望大家可以帮忙看一下是什么问题。

Answer 1

晚上好🌙🌙🌙
本答案参考通义千问

你遇到的问题是关于 CodeQL 查询分析过程中出现的错误，具体表现为：

• 创建数据库成功，但执行 codeql database analyze 时报错：Unknown kind "Table"。
• 使用标准查询集可以生成 .sarif 文件，但提示“Java 分析质量低”。
• 尝试排除某些查询失败（如 --exclude=... 不被识别）。

---

一、问题分析

1. 报错信息解析

A fatal error occurred: Could not process query metadata for ...ExternalAPIsUsedWithUntrustedData.bqrs. Error was: Unknown kind "Table".

这个错误表明 CodeQL 在尝试处理某个 .bqrs 文件时遇到了 不支持的元数据格式。可能的原因包括：

• 查询文件损坏或格式不正确（比如你自定义的查询文件）。
• CodeQL 版本与查询集版本不兼容（你使用的 CodeQL 是 2.22.4，而某些查询可能需要更高版本）。
• 查询中使用了过时或不支持的语法（如 Table 这个类型在旧版本中可能不存在）。

---

2. 标准查询集能生成结果，但质量低

Low Java analysis quality (1 result): Scanning Java code completed successfully, but the scan encountered issues.

这表示：

• CodeQL 成功扫描了 Java 文件，但没有找到足够的依赖关系或构建信息。
• 可能是因为你没有使用 autobuild 模式 或 手动构建模式 来编译代码，导致 CodeQL 无法正确理解项目结构。

---

3. --exclude=... 命令无效

你尝试用 --exclude=codeql/java-queries/Security/CWE/CWE-020/ 排除特定查询子集，但命令不被识别。

这是因为 --exclude 参数 不适用于查询集路径，它用于排除某些查询文件（.ql），而不是整个目录。要排除特定查询，需指定具体的 .ql 文件名。

---

二、解决方案

✅ 解决方法 1：检查并更新 CodeQL 和查询集版本

原因：你使用的 CodeQL 版本（2.22.4）可能较旧，部分查询已不再兼容。

解决步骤：

1. 升级 CodeQL 到最新版本（建议 2.25+）：

   • 下载地址：https://github.com/github/codeql-cli-binaries/releases
   • 安装后设置环境变量 CODEQL_HOME。

2. 更新查询集（如果你使用的是自定义查询）：

   • 确保你的查询集与 CodeQL 版本兼容。
   • 可以从 GitHub 获取官方查询集：

     git clone https://github.com/github/codeql.git
     

---

✅ 解决方法 2：使用正确的构建方式提高分析质量

原因：CodeQL 需要了解项目的依赖和构建过程，才能准确分析代码。

解决步骤：

1. 使用 autobuild 模式（推荐）：

   codeql database build --language=java --source-root=D:\myProject --command="mvn clean install" D:\myResults\backend-db
   

   • 这会自动运行 mvn clean install 来构建项目，并收集依赖信息。

2. 如果不能使用 autobuild，可使用 manual build mode：

   • 手动编译项目，确保所有依赖项都已正确构建。
   • 例如：

     mvn clean package
     

---

✅ 解决方法 3：修复或替换有问题的查询文件

原因：报错中的 ExternalAPIsUsedWithUntrustedData.bqrs 文件可能存在错误。

解决步骤：

1. 定位该文件：

   • 路径为：D:\myResults\backend-db\results\codeql\java-queries\Security\CWE\CWE-020\ExternalAPIsUsedWithUntrustedData.bqrs

2. 检查其对应的 .ql 文件（通常在 codeql/java-queries 目录下）：

   • 查看是否有语法错误或使用了不支持的类型（如 Table）。

3. 修改或替换该查询：

   • 如果无法修复，可以临时删除或重命名该查询文件，避免影响整体分析。

---

✅ 解决方法 4：正确排除特定查询（不是目录）

原因：--exclude 不能直接排除目录，只能排除单个 .ql 文件。

正确用法：

codeql database analyze D:\myResults\backend-db codeql/java-queries/Security/CWE/CWE-020/ExternalAPIsUsedWithUntrustedData.ql --format=csv --output=D:\myResults\result.csv

或者，如果你想排除多个查询，可以列出所有要排除的文件：

codeql database analyze D:\myResults\backend-db codeql/java-queries/Security/CWE/CWE-020/ExternalAPIsUsedWithUntrustedData.ql codeql/java-queries/Security/CWE/CWE-020/AnotherQuery.ql --exclude=codeql/java-queries/Security/CWE/CWE-020/ExternalAPIsUsedWithUntrustedData.ql --format=csv --output=D:\myResults\result.csv

---

三、总结与建议

| 问题 | 原因 | 解决方案 | |------|------|----------| | Unknown kind "Table" | 查询文件格式不兼容或损坏 | 升级 CodeQL，检查查询文件是否损坏 | | 分析质量低 | 未使用 autobuild 或 manual build | 使用 autobuild 或确保项目完整构建 | | --exclude 无效 | 不能排除目录 | 使用 --exclude 排除具体 .ql 文件 | | 无法生成 CSV/SARIF 文件 | 查询文件异常 | 检查查询文件是否有效，或暂时移除 |

---

四、示例：修正后的命令

# 使用 autobuild 构建数据库
codeql database build --language=java --source-root=D:\myProject --command="mvn clean install" D:\myResults\backend-db

# 分析数据库，排除特定查询
codeql database analyze D:\myResults\backend-db codeql/java-queries/Security/CWE/CWE-020/ExternalAPIsUsedWithUntrustedData.ql --exclude=codeql/java-queries/Security/CWE/CWE-020/ExternalAPIsUsedWithUntrustedData.ql --format=sarif --output=D:\myResults\result.sarif

---

五、最终建议

• 优先使用 autobuild 模式，这样 CodeQL 可以自动获取构建信息，提高分析准确性。
• 定期更新 CodeQL 和查询集，确保兼容性。
• 不要随意删除或修改查询文件，除非你清楚其作用。
• 对于关键安全问题，建议使用官方提供的查询集，如 security-queries 或 codeql-java-security-queries。

---

如果你有具体的 .ql 文件内容或更详细的错误日志，我可以进一步帮你排查具体原因。