Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Proposal: a Starlark extractor for CodeQL

Đang mở
  • Có gì không ổn?
#22,881 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
25/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github, github-actions, python
Lĩnh vực
security

Hướng nghiên cứu

Read the proposal and the linked starlark-analyze project to understand its checker and SARIF output. The issue asks maintainers to decide whether a Starlark extractor is in scope and what it should cover; it does not request implementation. Done means maintainers answer those scope questions and clarify whether external SARIF upload is the supported path.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Proposal: a Starlark extractor for CodeQL

Starlark (Tiltfile, Bazel BUILD and .bzl files, and other Starlark-based configuration) has no CodeQL extractor. The language stats for this repo count Starlark only because of Bazel .bzl files in misc/ and the tree. As a result, Starlark-based configuration gets no static analysis on GitHub.

Flisk (the Tilt-based local stack tool) uses Starlark for its Tiltfiles and *.star configuration. We have a working, stdlib-only checker that reports the following through SARIF 2.1.0:

  • unpinned remote load()
  • local_resource commands built by string concatenation
  • literal secrets assigned in Starlark
  • file reads that leave the project root

The checker is at https://github.com/flisk-sh/starlark-analyze. It parses with Python's ast module because Starlark is a Python subset, so it is not an extractor and does not model Starlark's semantics.

Questions for maintainers

  1. Is a Starlark extractor on the roadmap, or is this out of scope for CodeQL?
  2. If it is in scope, what would a minimal extractor need to cover first: Tiltfile dialect, load() resolution, or .bzl for Bazel?
  3. If not, would you accept SARIF from an external analyzer via github/codeql-action/upload-sarif as the supported path?

I'm happy to contribute test cases and the rule definitions from that repo. I'm not asking for a merge into CodeQL.

Ngôn ngữ chính
CodeQL
Star
10.2k
Fork
2.1k
Merge trung bình
2 ngày 17 giờ
Pull request đã merge (30 ngày)
130

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của github/codeql

Tất cả issue của github/codeql

Issue tương tự

Thêm issue về Security

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.