CodeQL 是一套Github 在2019 开源且免费的静态扫描代码工具，让你能在产品release 前及早发现潜藏的漏洞并提供相对应改善的方法。

CodeQL 有几项显著的特色 :

• 免费且开源
• 客制化rule/engine
• 可以像查询资料库一样，通过代码编写query 把文件捞出来

CodeQL 常被拿来跟业界主流的Fortify 比较，而我们选择使用CodeQL ，纯粹是两套我们都没用过，而CodeQL支持Action 可以直接导入目前的CI 流程