Proposal: Lobster support for CodeQL
Maintainer antworten meist innerhalb von 1 Tag
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 5/5
- Geschätzter Aufwand
- Über eine Woche
- Anfängerfreundlichkeit
- 35/100
- Issue-Typ
- Feature
- Klarheit
- Größtenteils klar
- Aktivitätsstatus
- Aktiv
- Tech-Stack
- github
- Bereich
- security
Rechercherichtung
Read the proposal and related issue #22881, then review the existing CodeQL extractor support and the github/codeql-action/upload-sarif path mentioned here. The issue asks maintainers about scope, minimum extractor coverage, and external SARIF support; it does not define an implementation task or completion criteria.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Proposal: Lobster support for CodeQL
Lobster is a general-purpose programming language (.lobster files) used for games and tools. It has a built-in launch_subprocess for running programs and read_file / write_file for file access, so it can contain the same kinds of issues CodeQL looks for in other languages.
CodeQL has no Lobster extractor, so Lobster code gets no static analysis in Code scanning.
As a stop-gap I built a small, unofficial checker that reports through SARIF and uploads with github/codeql-action/upload-sarif: https://github.com/flisk-sh/codeql-lobster. It is not an extractor. It uses a lexer and looks at call shapes only, with four rules for now (launch_subprocess run through a shell, command lines built with +, paths outside the project root, literal secrets). I ran it on the Lobster samples and modules (57 files) and it reported nothing, so it shows no false positives there, but it is only tested on small fixtures and will miss a lot.
Questions for maintainers
- Is support for smaller languages like Lobster in scope for CodeQL, and is there a bar for adding one?
- If it is, what would a minimal extractor need to cover first?
- Until then, is uploading SARIF from an external analyzer the supported path?
I'm not asking for a merge into CodeQL. I'm not affiliated with the Lobster authors. This is a related proposal to #22881 (Starlark).
- Vorherrschende Sprache
- CodeQL
- Sterne
- 10.3k
- Forks
- 2.1k
- Ø Merge
- 2 T. 10 Std.
- Gemergte PRs (30 T.)
- 137
Entwicklungsumgebung
Startet den Dev-Container des Projekts im Browser, mit Ihrem eigenen GitHub-Konto.
- Kein Dockerfile und keine Docker-Compose-Datei
- Keine Pull-Request-Vorlage
- Beitragsleitfaden lesen
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus github/codeql
-
JavaScript externs model StorageEvent() with no type argumentEvtl. vergeben @asgerf hat das vor 9 Tagen übernommen. Offenfalse-positive javascript
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100
github/codeql#22632 · 3 Kommentare · 1 Reaktion · 2 zugewiesene Personen ·
Maintainer antworten meist innerhalb von 1 Tag
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Evtl. vergeben @cnuss hat das vor 210 Tagen übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
github/codeql#21637 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
false-positive
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100
github/codeql#21076 · 3 Kommentare · 3 Reaktionen ·
Maintainer antworten meist innerhalb von 1 Tag
-
Rust: Axum State captured by a closure is treated as remoteEvtl. vergeben @hvitved hat das vor 1 Tag übernommen. Offen
github/codeql#22912 · 1 Kommentar · 1 zugewiesene Person ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 25/100
github/codeql#22882 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
Ähnliche Issues
-
Results from sources can contain invalid host namesEvtl. vergeben @Mzack9999 hat das heute übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
projectdiscovery/subfinder#1983 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
taylorwilsdon/google_workspace_mcp#1326 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 78/100
pypa/advisory-database#412 ·
Maintainer antworten meist innerhalb von 1 Tag
-
refactor
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
Maintainer antworten meist innerhalb von 1 Tag