安装前
一旦获得批准的版本可用，请选择适合您的操作系统和架构的二进制文件：Windows、macOS 或 Linux； amd64 或 arm64。验证已发布的校验和和发布者身份，查看分发条款并使用最低权限环境。校验和本身并不能验证发布者的身份。
扫描并导出证据
先运行qs version并记录版本。默认扫描选择所有六种语言和直接本地依赖性声明。 all-local 添加可识别的锁定文件；它不能解析完整的依赖关系图。
qs version
qs scan ./repository
qs scan ./repository --dependencies all-local --format json --output report.json
qs scan ./repository --format sarif --output report.sarif
qs scan ./repository --min-severity high --fail-on-severity high行动前阅读报告
- 在将清单描述为在其支持范围内完整之前，请检查 coverage.complete 和警告。
- 查看协议、部署和数据生命周期上下文中的每个发现。源存在并不能证明运行时使用。
- 私下存储报告。请勿将客户报告或存储库内容放入本网站的查询表格中。
- 仅当您有意希望结果影响进程退出状态时，才使用 --fail-on-severity high。
退出代码
- 0
- 扫描完成；仍然检查覆盖范围和警告。
- 1
- 明确配置的严重性策略匹配；报告是先写的。
- 2
- 无效的命令、选项、模式或配置。
- 3
- 取消、根/报告/内部故障或安全限制流产；可能会提供部分报告。