每天检查 github 项目是否更新，自动获取/生成数据库查询,自动运行 CodeQL 规则查询,高效捡洞.

默认 web 页面开放在8888端口, 用户名，密码如果没有指定，用户名默认为 yhy, 密码为随机的，会输出到控制台

注：因为使用了 go-sqlite3,每个平台需要单独编译

./Yi -token githubToken -pwd 密码 -f 1.txt -user 用户名 -path /Users/yhy/CodeQL/codeql

考虑到监控的项目有点多，所以需要 github token，防止访问被限制.

-path 必须要指定，指 codeql 各种语言规则库的顶级目录

其它参数

-p 代理-t 运行时监控一个项目-f 运行后要监控的项目, 每行一个github项目地址 url-port web 访问端口，默认 8888 端口-thread 扫描协程数，默认 5 个

-t -f 指定一个即可，或者都不使用，通过 Web 界面的新增按钮，慢慢添加

运行后，会自动在当前目录下生成相关文件夹(下载、生成的数据库，clone的仓库)和 ql 规则配置文件。

注: 运行该程序的机器上要安装好 Codeql(加入环境变量)、Git、Docker、Go

Java、Maven、Gradle(如果要监控 Java 项目的话,不然会导致数据库生成失败)

如果你需要其他语言，修改代码后，最好也安装好语言对应的编译工具。 emmmm 有没有各种语言都安装好的 docker

还有就是最好使用 root 执行， 监控项目中使用 makefile 时，可能会有一些工具，机器上没有，导致数据库失败,比如:

[2022-12-14 16:34:26] [build-stdout] INFO: yq was not found, installing it[2022-12-14 16:34:30] [build-stderr] make: go: 权限不够[2022-12-14 16:34:30] [build-stderr] make: go: 权限不够

功能

• 每天监控项目是否是否更新，更新则获取/生成数据库，进行 Codeql 扫描
• 监控配置文件更新，新增 ql 规则从数据库中获取进行扫描
• 黑名单，有的规则会误报，看的时候将该扫描结果拉黑，以后再次扫描时该结果就不会在界面显示

项目地址：https://github.com/ZhuriLab/Yi

原文始发于微信公众号（x9sec）：项目监控工具 以及 Codeql 自动运行