Proposal: Lobster support for CodeQL
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- github
- Ambito
- security
Direzione di ricerca
Read the proposal and related issue #22881, then review the existing CodeQL extractor support and the github/codeql-action/upload-sarif path mentioned here. The issue asks maintainers about scope, minimum extractor coverage, and external SARIF support; it does not define an implementation task or completion criteria.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Proposal: Lobster support for CodeQL
Lobster is a general-purpose programming language (.lobster files) used for games and tools. It has a built-in launch_subprocess for running programs and read_file / write_file for file access, so it can contain the same kinds of issues CodeQL looks for in other languages.
CodeQL has no Lobster extractor, so Lobster code gets no static analysis in Code scanning.
As a stop-gap I built a small, unofficial checker that reports through SARIF and uploads with github/codeql-action/upload-sarif: https://github.com/flisk-sh/codeql-lobster. It is not an extractor. It uses a lexer and looks at call shapes only, with four rules for now (launch_subprocess run through a shell, command lines built with +, paths outside the project root, literal secrets). I ran it on the Lobster samples and modules (57 files) and it reported nothing, so it shows no false positives there, but it is only tested on small fixtures and will miss a lot.
Questions for maintainers
- Is support for smaller languages like Lobster in scope for CodeQL, and is there a bar for adding one?
- If it is, what would a minimal extractor need to cover first?
- Until then, is uploading SARIF from an external analyzer the supported path?
I'm not asking for a merge into CodeQL. I'm not affiliated with the Lobster authors. This is a related proposal to #22881 (Starlark).
- Lingua principale
- CodeQL
- Stelle
- 10.3k
- Fork
- 2.1k
- Merge medio
- 2g 10h
- PR unite (30g)
- 137
Preparare l'ambiente
Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di github/codeql
-
JavaScript externs model StorageEvent() with no type argumentForse già presa @asgerf l’ha presa 9 giorni fa. Apertafalse-positive javascript
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
github/codeql#22632 · 3 commenti · 1 reazione · 2 assegnatari ·
I maintainer di solito rispondono entro 1 giorno
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Forse già presa @cnuss l’ha presa 210 giorni fa. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
github/codeql#21637 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
false-positive
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
github/codeql#21076 · 3 commenti · 3 reazioni ·
I maintainer di solito rispondono entro 1 giorno
-
Rust: Axum State captured by a closure is treated as remoteForse già presa @hvitved l’ha presa 1 giorno fa. Aperta
github/codeql#22912 · 1 commento · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
github/codeql#22882 · 2 commenti ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di github/codeql
Issue simili
-
good first issue security
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
-
agent-ready area:cli bug p3 security
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
gacela-project/gacela#1014 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 69/100
I maintainer di solito rispondono entro 1 giorno
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
datamodel-code-generator/datamodel-code-generator#5577 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 79/100
gregtwallace/certwarden#152 ·