golang/go

x/tools/go/analysis/structtag: stricter JSON tag checking

Open

#74.376 geöffnet am 25. Juni 2025

Auf GitHub ansehen
 (6 Kommentare) (11 Reaktionen) (0 zugewiesene Personen)Go (19.008 Forks)batch import
AnalysisProposalProposal-Acceptedhelp wanted

Repository-Metriken

Stars
 (133.883 Stars)
PR-Merge-Metriken
 (Keine gemergten PRs in 30 T)

Beschreibung

Background: This recent article https://blog.trailofbits.com/2025/06/17/unexpected-security-footguns-in-gos-parsers/ describes (among other things) a number of security weaknesses in Go's encoding/json package. Some of these could be mitigated by better static checking of struct field tags; indeed, the author of the post links to two semgrep rules that enforce these checks. Specifically:

  • semgrep -c r/trailofbits.go.unmarshal-tag-is-dash
  • semgrep -c r/trailofbits.go.unmarshal-tag-is-omitempty

Proposal: Let's add these two checks to the structtag analyzer so that users get immediate feedback in their LSP-enabled editor, and whenever they run go vet.

Contributor Guide

Research-Richtung
Studieren Sie die vorhandene Implementierung des structtag Analysators und fügen Sie zwei neue Prüfungen für JSON Tags hinzu: eine, die 'json:" "' markiert, und eine, die Muster wie 'json:",omitempty"' markiert, die Sicherheitsprobleme verursachen können. Beachten Sie die verlinkten Semgrep Regeln für die genauen Muster.
Tech Stack
go
Domain
securitytooling
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Halber Tag
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
Go
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
65