golang/go

x/tools/go/analysis/structtag: stricter JSON tag checking

Open

#74 376 ouverte le 25 juin 2025

Voir sur GitHub
 (6 commentaires) (11 réactions) (0 assignés)Go (19 008 forks)batch import
AnalysisProposalProposal-Acceptedhelp wanted

Métriques du dépôt

Stars
 (133 883 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

Background: This recent article https://blog.trailofbits.com/2025/06/17/unexpected-security-footguns-in-gos-parsers/ describes (among other things) a number of security weaknesses in Go's encoding/json package. Some of these could be mitigated by better static checking of struct field tags; indeed, the author of the post links to two semgrep rules that enforce these checks. Specifically:

  • semgrep -c r/trailofbits.go.unmarshal-tag-is-dash
  • semgrep -c r/trailofbits.go.unmarshal-tag-is-omitempty

Proposal: Let's add these two checks to the structtag analyzer so that users get immediate feedback in their LSP-enabled editor, and whenever they run go vet.

Guide contributeur

Direction de recherche
Étudiez l'implémentation existante de l'analyseur structtag, puis ajoutez deux nouvelles vérifications pour les balises JSON : une signalant 'json:" "' et une autre signalant les motifs 'json:",omitempty"' pouvant causer des problèmes de sécurité. Référez vous aux règles semgrep liées pour les motifs exacts.
Stack technique
go
Domaine
securitytooling
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Go
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
65