Proposal: Lobster support for CodeQL
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 5/5
- Temps estimé
- Plus d'une semaine
- Accessibilité débutants
- 35/100
- Type d'issue
- Fonctionnalité
- Clarté
- Plutôt claire
- Activité
- Active
- Stack technique
- github
- Domaine
- security
Piste de recherche
Read the proposal and related issue #22881, then review the existing CodeQL extractor support and the github/codeql-action/upload-sarif path mentioned here. The issue asks maintainers about scope, minimum extractor coverage, and external SARIF support; it does not define an implementation task or completion criteria.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Proposal: Lobster support for CodeQL
Lobster is a general-purpose programming language (.lobster files) used for games and tools. It has a built-in launch_subprocess for running programs and read_file / write_file for file access, so it can contain the same kinds of issues CodeQL looks for in other languages.
CodeQL has no Lobster extractor, so Lobster code gets no static analysis in Code scanning.
As a stop-gap I built a small, unofficial checker that reports through SARIF and uploads with github/codeql-action/upload-sarif: https://github.com/flisk-sh/codeql-lobster. It is not an extractor. It uses a lexer and looks at call shapes only, with four rules for now (launch_subprocess run through a shell, command lines built with +, paths outside the project root, literal secrets). I ran it on the Lobster samples and modules (57 files) and it reported nothing, so it shows no false positives there, but it is only tested on small fixtures and will miss a lot.
Questions for maintainers
- Is support for smaller languages like Lobster in scope for CodeQL, and is there a bar for adding one?
- If it is, what would a minimal extractor need to cover first?
- Until then, is uploading SARIF from an external analyzer the supported path?
I'm not asking for a merge into CodeQL. I'm not affiliated with the Lobster authors. This is a related proposal to #22881 (Starlark).
- Langage dominant
- CodeQL
- Étoiles
- 10.2k
- Forks
- 2.1k
- Merge moyen
- 2 j 13 h
- PR mergées (30 j)
- 131
Préparer son environnement
Lance le conteneur de développement du projet dans votre navigateur, avec votre propre compte GitHub.
- Aucun Dockerfile ni fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de github/codeql
-
JavaScript externs model StorageEvent() with no type argumentPeut-être pris @asgerf l’a pris il y a 7 jours. Ouvertefalse-positive javascript
Difficulté 2/5 1-3 heures Accessibilité débutants 84/100
github/codeql#22632 · 3 commentaires · 1 réaction · 2 personnes assignées ·
Les mainteneurs répondent en général sous 1 jour
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Peut-être pris @cnuss l’a pris il y a 208 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
github/codeql#21637 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
false-positive
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
github/codeql#21076 · 3 commentaires · 3 réactions ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
github/codeql#22882 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
github/codeql#22881 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de github/codeql
Issues similaires
-
needs attention public-client untriaged
Difficulté 2/5 1-3 heures Accessibilité débutants 73/100
AzureAD/microsoft-authentication-library-for-dotnet#6242 ·
Les mainteneurs répondent en général sous 2 jours
-
Difficulté 2/5 1-3 heures Accessibilité débutants 66/100
suitenumerique/accounts#160 ·
Les mainteneurs répondent en général sous 1 jour
-
area:ai-client good first issue priority:critical type:security
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
PicadoLabs/build-with-ai#192 ·
Les mainteneurs répondent en général sous 1 jour
-
Add AdsOuverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 68/100
StevenBlack/hosts#3279 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
sudo-project/sudo#586 ·
Les mainteneurs répondent en général sous 1 jour