Proposal: a Starlark extractor for CodeQL
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 25/100
Línea de trabajo
Read the proposal and the linked starlark-analyze project to understand its checker and SARIF output. The issue asks maintainers to decide whether a Starlark extractor is in scope and what it should cover; it does not request implementation. Done means maintainers answer those scope questions and clarify whether external SARIF upload is the supported path.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Proposal: a Starlark extractor for CodeQL
Starlark (Tiltfile, Bazel BUILD and .bzl files, and other Starlark-based configuration) has no CodeQL extractor. The language stats for this repo count Starlark only because of Bazel .bzl files in misc/ and the tree. As a result, Starlark-based configuration gets no static analysis on GitHub.
Flisk (the Tilt-based local stack tool) uses Starlark for its Tiltfiles and *.star configuration. We have a working, stdlib-only checker that reports the following through SARIF 2.1.0:
- unpinned remote
load() local_resourcecommands built by string concatenation- literal secrets assigned in Starlark
- file reads that leave the project root
The checker is at https://github.com/flisk-sh/starlark-analyze. It parses with Python's ast module because Starlark is a Python subset, so it is not an extractor and does not model Starlark's semantics.
Questions for maintainers
- Is a Starlark extractor on the roadmap, or is this out of scope for CodeQL?
- If it is in scope, what would a minimal extractor need to cover first:
Tiltfiledialect,load()resolution, or.bzlfor Bazel? - If not, would you accept SARIF from an external analyzer via
github/codeql-action/upload-sarifas the supported path?
I'm happy to contribute test cases and the rule definitions from that repo. I'm not asking for a merge into CodeQL.
- Lenguaje dominante
- CodeQL
- Estrellas
- 10.3k
- Forks
- 2.1k
- Merge medio
- 2 d 10 h
- PR fusionados (30 d)
- 137
Preparar el entorno
Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de github/codeql
-
JavaScript externs model StorageEvent() with no type argumentPosiblemente ocupada @asgerf la tomó hace 9 días. Abiertofalse-positive javascript
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
github/codeql#22632 · 3 comentarios · 1 reacción · 2 asignados ·
Los mantenedores suelen responder en 1 día
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Posiblemente ocupada @cnuss la tomó hace 210 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
github/codeql#21637 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
false-positive
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
github/codeql#21076 · 3 comentarios · 3 reacciones ·
Los mantenedores suelen responder en 1 día
-
Rust: Axum State captured by a closure is treated as remotePosiblemente ocupada @hvitved la tomó hace 1 día. Abierto
github/codeql#22912 · 1 comentario · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100
github/codeql#22883 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de github/codeql
Issues similares
-
Migrate to new log group formatAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
-
openspec-sync-specs skill: containment check missing for create/update path, only present for deleteAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 73/100
Fission-AI/OpenSpec#2164 ·
Los mantenedores suelen responder en 1 día
-
Regression: IME preedit still shown in plaintext on lock/polkit — #13002 fix is not in 4.0.6Posiblemente ocupada @AnPod la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
tox-dev/pipdeptree#836 ·
Los mantenedores suelen responder en 1 día
-
bug:normal
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día