Proposal: Goose support for CodeQL
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- github, github-actions
- Ambito
- security
Direzione di ricerca
Read the proposal and the related issue #22881, then review CodeQL's language support and extractor guidance against the Goose tree-sitter grammar at tree-sitter/grammar.js. The author asks maintainers to clarify support criteria, whether the grammar is a suitable starting point, and whether external SARIF upload is supported; there is no implementation task or completion criterion yet.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Proposal: Goose support for CodeQL
Goose is a memory-safe systems programming language (Apache-2.0, .goose files) with no heap allocator, no garbage collector and no lifetime annotations. It is under active development, and its repository includes a tree-sitter grammar (tree-sitter/grammar.js).
CodeQL has no Goose extractor, so Goose code gets no static analysis in Code scanning.
As a stop-gap I built a small, unofficial checker that reports through SARIF and uploads with github/codeql-action/upload-sarif: https://github.com/flisk-sh/codeql-goose. It is not an extractor. It uses a lexer and looks at call shapes only, with three rules for now (a discarded bool from file and environment calls, paths outside the project root, literal secrets). It has not yet been run on a real project outside its own tests, and it will miss a lot.
Questions for maintainers
- Is support for new, small languages like Goose in scope for CodeQL, and is there a bar (for example a stable grammar or a user base)?
- Would the Goose tree-sitter grammar be a reasonable starting point for an extractor?
- Until then, is uploading SARIF from an external analyzer the supported path?
I'm not asking for a merge into CodeQL. I'm not affiliated with the Goose authors. This is a related proposal to #22881 (Starlark).
- Lingua principale
- CodeQL
- Stelle
- 10.2k
- Fork
- 2.1k
- Merge medio
- 2g 17h
- PR unite (30g)
- 130
Preparare l'ambiente
Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di github/codeql
-
JavaScript externs model StorageEvent() with no type argumentForse già presa @asgerf l’ha presa 7 giorni fa. Apertafalse-positive javascript
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
github/codeql#22632 · 3 commenti · 1 reazione · 2 assegnatari ·
I maintainer di solito rispondono entro 1 giorno
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Forse già presa @cnuss l’ha presa 207 giorni fa. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
github/codeql#21637 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
false-positive
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
github/codeql#21076 · 3 commenti · 3 reazioni ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
github/codeql#22883 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
github/codeql#22881 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di github/codeql
Issue simili
-
cvss-severity:high devguard l3montree-cybersecurity/.../devguard-documentation pkg:devguard/l3montree-c.../devguard-documentation pkg:oci/devguard-documen...ch=amd64&tag=main-amd64 risk:low state:open
Difficoltà 1/5 1-3 ore Idoneità per principianti 64/100
l3montree-dev/devguard-documentation#372 · 1 commento ·
-
good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100
madeyoga/AuthEndpoints#364 ·
I maintainer di solito rispondono entro 1 giorno
-
Mend: dependency security vulnerability
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
carbon-design-system/carbon-react-router-starter#1005 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 64/100
I maintainer di solito rispondono entro 1 giorno