CodeQL 2.27.3 发布：支持 Python 3.15 与 JSON 数据扩展

一句话看懂：GitHub 在 2026 年 11 月 3 日发布 CodeQL 2.27.3，新增对 Python 3.15 语言特性、JSON 格式数据扩展及 C23 位精确整数的支持，并优化多语言查询准确性，直接关系到 GitHub 代码扫描的检出效果。

事件核心：发生了什么

CodeQL 是 GitHub 代码扫描背后的静态分析引擎。此次 2.27.3 版本的核心变化包括：数据扩展文件开始支持 JSON 语法，结构与 YAML 数据扩展一致，并兼容 Java 风格注释（// 和 /* */）；CodeQL CLI 会按 .json 后缀识别 JSON，其余文件仍按 YAML 解析。Python 侧支持 3.15 语法，涵盖 match 字面量模式中的一元加号、Unicode 17 标识符，以及新增的 frozendict 和 sentinel 内置对象，并为 frozendict 构造加入数据流建模。C/C++ 增加 C23 的 _BitInt(N) 支持；C# 支持 is 表达式和 switch 位置模式中的数据流；Ruby 将 Grape::API 的请求子访问器视为远程流源。此外新增一个需要主动启用的 ai 威胁模型，用于 LLM 生成数据，但未内置源模型，需开发者通过数据扩展自行定义。

为什么重要

静态分析工具的价值取决于能否跟上语言演进和真实代码模式。Python 3.15 特性与 frozendict 的数据流建模，意味着新语法不会成为扫描盲区；JSON 数据扩展降低了接入门槛，便于团队把自定义源和汇纳入分析。对 GitHub 而言，这是在代码扫描这一安全入口上持续加固生态，而非孤立的功能更新。

对用户/开发者/创作者的影响

使用 GitHub 代码扫描的团队会自动获得新版本，github.com 用户无需操作；GHES 用户需等待 3.24 版本，旧版本可手动升级 CodeQL。依赖自定义查询的开发者需注意 GitHub Actions 控制流图已切换至共享 CFG 库，旧的 Completion 类被移除，应改用 DirectSuccessor 等边标签，否则查询可能失效。查询层面，Java/Kotlin 的 SSRF 与 URL 重定向规则减少误报，C/C++ 资源释放查询与 C# 可简化布尔表达式查询也做了准确性优化。