# バッチ設計書 9-CodeQL

## 概要

本ドキュメントは、CodeQLバッチ（codeql.yml）の設計仕様を記載したものである。このバッチは、コードプッシュ時にGitHub CodeQLを使用してセキュリティ脆弱性のコード分析を行うCI/CDバッチである。

### 本バッチの処理概要

**業務上の目的・背景**：ソフトウェア開発において、セキュリティ脆弱性を早期に発見することは非常に重要である。CodeQLはGitHubが提供するセマンティックコード分析エンジンで、SQLインジェクション、クロスサイトスクリプティング（XSS）、バッファオーバーフローなどの一般的なセキュリティ脆弱性を自動的に検出する。本バッチは、コードプッシュのたびにこの分析を実行し、セキュリティ問題を早期に発見・対処することを目的としている。

**バッチの実行タイミング**：任意のブランチへのプッシュ時に自動実行される。

**主要な処理内容**：
1. route06/actions の共有CodeQLワークフローを呼び出し
2. CodeQLによるコード分析を実行
3. 結果をGitHub Security Alertsに報告

**前後の処理との関連**：本バッチは独立して動作し、他のバッチへの依存関係はない。検出された脆弱性はGitHub Security タブで確認可能。

**影響範囲**：GitHub Security Alerts、PRのステータスチェック

## バッチ種別

CI/CD / セキュリティスキャン

## 実行スケジュール

| 項目 | 内容 |
|-----|------|
| 実行頻度 | イベント駆動 |
| 実行時刻 | - |
| 実行曜日 | - |
| 実行日 | - |
| トリガー | push（全ブランチ） |

## 実行条件

### 前提条件

| 条件 | 説明 |
|-----|------|
| GitHub Advanced Security | リポジトリでGitHub Advanced Securityが有効であること |
| route06/actions | 共有ワークフローへのアクセス権限があること |

### 実行可否判定

- pushイベント時に常に実行
- ブランチ制限なし

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | デフォルト値 | 説明 |
|-------------|-----|-----|-------------|------|
| - | - | - | - | 入力パラメータなし（共有ワークフローで定義） |

### 入力データソース

| データソース | 形式 | 説明 |
|-------------|------|------|
| ソースコード | TypeScript/JavaScript等 | 分析対象のコード |

## 出力仕様

### 出力データ

| 出力先 | 形式 | 説明 |
|-------|------|------|
| GitHub Security Alerts | SARIF | 検出された脆弱性レポート |
| GitHub Checks | API | 分析結果ステータス |

### 出力ファイル仕様

ファイル出力なし（GitHub Security Alertsへの報告）

## 処理フロー

### 処理シーケンス

```
1. ワークフロー呼び出し
   └─ route06/actions/.github/workflows/codeql.yml@v2.7.0
   └─ 共有ワークフローとして実行
2. CodeQL分析実行
   └─ 対応言語の自動検出
   └─ データベース構築
   └─ クエリ実行
3. 結果報告
   └─ SARIF形式でGitHub Security Alertsに報告
```

### フローチャート

```mermaid
flowchart TD
    A[pushイベント] --> B[codeqlジョブ開始]
    B --> C[route06/actions共有ワークフロー呼び出し]
    C --> D[言語検出]
    D --> E[CodeQLデータベース構築]
    E --> F[セキュリティクエリ実行]
    F --> G[SARIF結果生成]
    G --> H[GitHub Security Alertsに報告]
    H --> I[バッチ終了]
```

## データベース操作仕様

### 操作別データベース影響一覧

データベース操作なし

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| - | 分析失敗 | CodeQLデータベース構築エラー | ログ確認、コード構造の見直し |
| - | クエリ失敗 | クエリ実行エラー | ログ確認、再実行 |

### リトライ仕様

| 項目 | 内容 |
|-----|------|
| リトライ回数 | 共有ワークフローで定義 |
| リトライ間隔 | - |
| リトライ対象エラー | - |

### 障害時対応

- ワークフロー失敗時：GitHub Actionsの実行ログを確認し、原因特定後に再プッシュ

## トランザクション仕様

| 項目 | 内容 |
|-----|------|
| トランザクション範囲 | なし |
| コミットタイミング | - |
| ロールバック条件 | - |

## パフォーマンス要件

| 項目 | 内容 |
|-----|------|
| 想定処理件数 | 1回/push |
| 目標処理時間 | 共有ワークフローで定義 |
| メモリ使用量上限 | GitHub Actions標準ランナー制限内 |

## 排他制御

- 排他制御なし
- 共有ワークフローで管理

## ログ出力

| ログ種別 | 出力タイミング | 出力内容 |
|---------|--------------|---------|
| 開始ログ | バッチ開始時 | ワークフロー開始 |
| 進捗ログ | 処理中 | CodeQL分析進捗 |
| 終了ログ | バッチ終了時 | 分析結果サマリー |
| エラーログ | エラー発生時 | エラー詳細 |

## 監視・アラート

| 監視項目 | 閾値 | アラート先 |
|---------|-----|----------|
| 脆弱性検出 | - | GitHub Security Alerts |
| 分析失敗 | - | GitHub Actions失敗通知 |

## 備考

- route06/actions の共有ワークフロー（v2.7.0）を使用
- 権限設定：
  - actions: read
  - checks: read
  - contents: read
  - security-events: write
- CodeQLは以下の言語をサポート：
  - JavaScript/TypeScript
  - Python
  - Go
  - Java
  - C/C++
  - C#
  - Ruby
- 分析結果はGitHub Security タブで確認可能
- PRに対しても分析結果がステータスチェックとして表示される
