GitHub・プルリク・コードスキャン・2026年10月26日に確認

GitHub：マージがコードスキャンの結果を待っている

ブランチのルールセットは、コードスキャンの結果を求められます（「Require code scanning results」）。リポジトリにコードスキャンが設定されていると、そのブランチへのプルリクは、必須のツールがルールセットの決めた重大度のアラートを見つけている間、必須のツールの解析がまだ終わっていない間、または必須のツールがリポジトリに設定されていない間はマージされません（GitHub の説明「ルールセットで使える規則」と「コードスキャンのマージ保護を設定する」）。従来のブランチの保護にはこの設定が無く、ルールセットの規則 code_scanning です（2026年10月26日に確認）。

GET /repos/OWNER/REPO/rules/branches/BRANCH
[{ "type": "code_scanning", "parameters": { "code_scanning_tools": [
    { "tool": "CodeQL", "alerts_threshold": "errors", "security_alerts_threshold": "high_or_higher" } ] } }]

規則が確かめること

ツールごとに2つの水準：ルールセットが挙げる各ツールに、「Alerts」（None・Errors・Errors and Warnings・All）と「Security alerts」（None・Critical・High or higher・Medium or higher・All）を決めます。REST API では alerts_threshold（none・errors・errors_and_warnings・all）と security_alerts_threshold（none・critical・high_or_higher・medium_or_higher・all）で、アラートやセキュリティのアラートを出す結果が、どの水準から参照の更新を止めるかです（GitHub の説明「ルールの REST API」）。
両方の結果：この規則があると、コードスキャンが有効で、コミットと更新される参照の両方に結果が無ければなりません。
重大度とセキュリティの重大度：コードスキャンのアラートには、どれも Error・Warning・Note のどれかの重大度があります。CodeQL が見つけたセキュリティのアラートには、さらに Critical・High・Medium・Low のセキュリティの重大度があり、それがあるアラートでは、コードスキャンは重大度よりもそちらを表示して使います（GitHub の説明「コードスキャンのアラート」）。
規則の読み方：「Get rules for a branch」は、ブランチに当てはまる有効な規則を、どの階層で設定されたものでも全部返します。評価だけのルールセットや無効のルールセットの規則は返しません。

結果がプルリクのどこに出るか

チェック：どの設定のコードスキャンでも、結果が入るチェックは「Code scanning results」です。解析ツールごとの結果が分けて出て、プルリクが変えた行の新しいアラートは注釈として出ます。既定では、重大度が error・critical・high の問題が1つでもあるとチェックは失敗します。この水準はリポジトリの設定で変えられます（GitHub の説明「プルリクのコードスキャンのアラートを確かめる」）。
結果がプルリクに届く時：コードスキャンをプルリクのチェックとして設定している（既定では既定のブランチへのプルリクだけ）か、push のたびにスキャンして結果を開いているプルリクに対応付けている時に、チェックの結果と注釈として出ます。
解析のチェック：CodeQL の解析のワークフローでは、言語ごとに「CodeQL / Analyze (LANGUAGE)」のチェックが、結果のチェックの前に走ります。設定の問題があるときや、解析がコンパイルする言語（たとえば C/C++・C#・Go・Java・Kotlin・Rust・Swift）のビルドをプルリクが壊したときに失敗することがあります。

直す所

どのツールが止めているか読む：ルールセットにツールと水準があります。「Code scanning results」のチェックでツールごとの結果を見られ、「View all branch alerts」で解析したブランチのアラートを全部見られます。
止める水準のアラート：プルリクで直します（push できる人ならだれでも。新しいコミットでチェックが走り直し、直ったアラートは閉じられ、注釈も消えます）。本当の問題でなければ、注釈からアラートを却下します。
解析が終わっていない・失敗している：解析のチェックを待つか、失敗した「Analyze」のチェックを Checks のタブで開きます。コンパイルする言語のビルドを壊したプルリクでは、解析が失敗します。
ツールが設定されていない・結果が無い：必須のツールが、このプルリクと対象のブランチの両方で走るようにします。プルリクのチェックは既定では既定のブランチへのプルリクだけなので、ほかのブランチのルールセットでは、そこでも解析を走らせる必要があります。
アラートへの会話：ブランチが会話の解決も求めているなら、コードスキャンのアラートへのコメントも数に入ります（マージが会話の解決を待っている）。

IntelliJ IDEA で GitHub のプルリクを見るなら

Lesstep の Pull Request Inbox for GitHub は、JetBrains IDE（2024.1 以降）のプラグインです。プルリクのレビュー・チェック・会話を差分の隣に出し、対象のブランチが許す方法でマージします。GitHub がプルリクを blocked と言うときは、マージの確認に読める物を名指しします（報告の無い必須チェック・まだ要るレビュー・ルールが止めている未解決の会話と署名の無いコミット・最後の push のルール）。チェックの一覧には、コードスキャンのチェックもほかと並んで出ます。ブランチのルールセットがコードスキャンの結果を求めているなら、止まっているプルリクのマージの確認にそう出し、必須のツールと止めるアラートの水準をツールごとに出します。受信箱・差分・会話は無料、承認・コメント・解決・マージは Pro（月 US$1.50・30日間の無料試用つき）です。画面は日本語です。

GitHub は GitHub, Inc. の商標、IntelliJ IDEA は JetBrains s.r.o. の商標です。このページは GitHub, Inc.・JetBrains のいずれとも提携しておらず、承認も受けていません。