Proposal: Lobster support for CodeQL
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 5/5
- Tempo estimado
- Mais de uma semana
- Facilidade para iniciantes
- 35/100
- Tipo de issue
- Funcionalidade
- Clareza
- Razoavelmente clara
- Status de atividade
- Ativa
- Stack de tecnologia
- github
- Domínio
- security
Direção de pesquisa
Read the proposal and related issue #22881, then review the existing CodeQL extractor support and the github/codeql-action/upload-sarif path mentioned here. The issue asks maintainers about scope, minimum extractor coverage, and external SARIF support; it does not define an implementation task or completion criteria.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Proposal: Lobster support for CodeQL
Lobster is a general-purpose programming language (.lobster files) used for games and tools. It has a built-in launch_subprocess for running programs and read_file / write_file for file access, so it can contain the same kinds of issues CodeQL looks for in other languages.
CodeQL has no Lobster extractor, so Lobster code gets no static analysis in Code scanning.
As a stop-gap I built a small, unofficial checker that reports through SARIF and uploads with github/codeql-action/upload-sarif: https://github.com/flisk-sh/codeql-lobster. It is not an extractor. It uses a lexer and looks at call shapes only, with four rules for now (launch_subprocess run through a shell, command lines built with +, paths outside the project root, literal secrets). I ran it on the Lobster samples and modules (57 files) and it reported nothing, so it shows no false positives there, but it is only tested on small fixtures and will miss a lot.
Questions for maintainers
- Is support for smaller languages like Lobster in scope for CodeQL, and is there a bar for adding one?
- If it is, what would a minimal extractor need to cover first?
- Until then, is uploading SARIF from an external analyzer the supported path?
I'm not asking for a merge into CodeQL. I'm not affiliated with the Lobster authors. This is a related proposal to #22881 (Starlark).
- Linguagem predominante
- CodeQL
- Estrelas
- 10.3k
- Forks
- 2.1k
- Merge médio
- 2d 5h
- PRs com merge (30d)
- 143
Preparar o ambiente
Inicia o contêiner de desenvolvimento do projeto no navegador, com a sua própria conta do GitHub.
- Sem Dockerfile nem arquivo Docker Compose
- Sem modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/codeql
-
JavaScript externs model StorageEvent() with no type argumentTalvez já em andamento @asgerf assumiu há 11 dias. Abertafalse-positive javascript
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
github/codeql#22632 · 3 comentários · 1 reação · 2 responsáveis ·
Mantenedores costumam responder em até 1 dia
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)Talvez já em andamento @cnuss assumiu há 211 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
github/codeql#21637 · 2 comentários ·
Mantenedores costumam responder em até 1 dia
-
false-positive
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
github/codeql#21076 · 3 comentários · 3 reações ·
Mantenedores costumam responder em até 1 dia
-
false-positive
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 48/100
Mantenedores costumam responder em até 1 dia
-
Python: Should an empty `netloc` count as a `py/url-redirection` sanitizer when `///evil.com` passes the check?Talvez já em andamento Um pull request vinculado a esta issue está aberto ou já foi mesclado. Abertaquestion
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 52/100
github/codeql#22846 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
Todas as issues de github/codeql
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
deltachat/deltachat-desktop#6914 ·
Mantenedores costumam responder em até 2 dias
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Mantenedores costumam responder em até 1 dia
-
scope:core type:security
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
Mantenedores costumam responder em até 1 dia
-
follow-redirects updateAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 66/100
mailgun/mailgun.js#544 ·
-
Mend: dependency security vulnerability
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Mantenedores costumam responder em até 1 dia