Proposal: a Starlark extractor for CodeQL
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 5/5
- 預估耗時
- 一週以上
- 新手友好度
- 25/100
研究方向
Read the proposal and the linked starlark-analyze project to understand its checker and SARIF output. The issue asks maintainers to decide whether a Starlark extractor is in scope and what it should cover; it does not request implementation. Done means maintainers answer those scope questions and clarify whether external SARIF upload is the supported path.
由索引模型根據 Issue 內容生成。
描述
Proposal: a Starlark extractor for CodeQL
Starlark (Tiltfile, Bazel BUILD and .bzl files, and other Starlark-based configuration) has no CodeQL extractor. The language stats for this repo count Starlark only because of Bazel .bzl files in misc/ and the tree. As a result, Starlark-based configuration gets no static analysis on GitHub.
Flisk (the Tilt-based local stack tool) uses Starlark for its Tiltfiles and *.star configuration. We have a working, stdlib-only checker that reports the following through SARIF 2.1.0:
- unpinned remote
load() local_resourcecommands built by string concatenation- literal secrets assigned in Starlark
- file reads that leave the project root
The checker is at https://github.com/flisk-sh/starlark-analyze. It parses with Python's ast module because Starlark is a Python subset, so it is not an extractor and does not model Starlark's semantics.
Questions for maintainers
- Is a Starlark extractor on the roadmap, or is this out of scope for CodeQL?
- If it is in scope, what would a minimal extractor need to cover first:
Tiltfiledialect,load()resolution, or.bzlfor Bazel? - If not, would you accept SARIF from an external analyzer via
github/codeql-action/upload-sarifas the supported path?
I'm happy to contribute test cases and the rule definitions from that repo. I'm not asking for a merge into CodeQL.
- 主要語言
- CodeQL
- 星號
- 10.2k
- 分支
- 2.1k
- 平均合併
- 2 天 17 小時
- 30 天內合併 PR
- 130
環境準備
在瀏覽器裡用你自己的 GitHub 帳號啟動這個專案的開發容器。
- 沒有 Dockerfile 或 Docker Compose 檔案
- 沒有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
github/codeql 的其他 Issue
-
JavaScript externs model StorageEvent() with no type argument可能已有人在做 @asgerf 於 7 天前認領。 未關閉false-positive javascript
難度 2/5 1-3 小時 新手友好度 84/100
github/codeql#22632 · 3 則留言 · 1 個 reaction · 已指派 2 人 ·
維護者通常 1 天內回覆
-
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression)可能已有人在做 @cnuss 於 208 天前認領。 未關閉
難度 2/5 1-3 小時 新手友好度 78/100
維護者通常 1 天內回覆
-
false-positive
難度 2/5 1-3 小時 新手友好度 70/100
github/codeql#21076 · 3 則留言 · 3 個 reaction ·
維護者通常 1 天內回覆
-
難度 5/5 一週以上 新手友好度 35/100
維護者通常 1 天內回覆
-
難度 5/5 一週以上 新手友好度 25/100
維護者通常 1 天內回覆
相似的 Issue
-
難度 2/5 1-3 小時 新手友好度 62/100
c1overzz/dsh-bili-scroll#145 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 68/100
ParetoSecurity/pareto-mac#324 ·
維護者通常 1 天內回覆
-
cvss-severity:high devguard l3montree-cybersecurity/.../devguard-documentation pkg:devguard/l3montree-c.../devguard-documentation pkg:oci/devguard-documen...ch=amd64&tag=main-amd64 risk:low state:open
難度 1/5 1-3 小時 新手友好度 64/100
l3montree-dev/devguard-documentation#372 · 1 則留言 ·
-
good first issue
難度 2/5 1-3 小時 新手友好度 88/100
madeyoga/AuthEndpoints#364 ·
維護者通常 1 天內回覆
-
bug triage
難度 2/5 1-3 小時 新手友好度 83/100
zizmorcore/zizmor#2490 ·
維護者通常 1 天內回覆