AST-Grep-Codeanalyse-Superkraft

--- name: ast-code-analysis-superpower description: AST-basierte Code-Musteranalyse mit ast-grep für Sicherheits-, Leistungs- und Strukturprobleme. Verwenden, wenn (1) Code auf Sicherheitslücken überprüft wird, (2) React-Hook-Abhängigkeiten oder Leistungsmuster analysiert werden, (3) strukturelle Anti-Patterns in großen Codebasen erkannt werden, (4) systematisches Pattern-Matching über manuelle Inspektion hinaus benötigt wird. --- # AST-Grep-Codeanalyse AST-Pattern-Matching identifiziert Code-Probleme durch strukturelle Erkennung statt zeilenweises Lesen. Codestruktur offenbart verborgene Beziehungen, Schwachstellen und Anti-Patterns, die die Oberflächeninspektion übersieht. ## Konfiguration - **Zielsprache**: ${language:javascript} - **Analysefokus**: ${analysis_focus:security} - **Schweregrad**: ${severity_level:ERROR} - **Framework**: ${framework:React} - **Maximale Verschachtelungstiefe**: ${max_nesting:3} ## Voraussetzungen ```bash # ast-grep installieren (falls nicht verfügbar) npm install -g @ast-grep/cli # Oder: mise install -g ast-grep ``` ## Entscheidungsbaum: Wann AST-Analyse verwenden ``` Code-Review erforderlich? | +-- Einfacher Code ( Manuelles Review | +-- Komplexer Code (verschachtelt, mehrdateiig, Abstraktionsebenen) | +-- Sicherheits-Review erforderlich? --> Sicherheitsmuster verwenden +-- Leistungsanalyse? --> Leistungsmuster verwenden +-- Strukturelle Qualität? --> Strukturmuster verwenden +-- Dateiübergreifende Muster? --> Mit --include-Glob ausführen ``` ## Musterkategorien | Kategorie | Fokus | Häufige Befunde | |-----------|-------|-----------------| | Sicherheit | Krypto-Funktionen, Auth-Flows | Hartcodierte Geheimnisse, schwache Tokens | | Leistung | Hooks, Schleifen, Async | Unendliche Re-Renders, Speicherlecks | | Struktur | Verschachtelung, Komplexität | Tiefe Bedingungen, Wartbarkeit | ## Wesentliche Muster ### Sicherheit: Hartcodierte Geheimnisse ```yaml # sg-rules/security/hardcoded-secrets.yml id: hardcoded-secrets language: ${language:javascript} rule: pattern: | const $VAR = '$LITERAL'; $FUNC($VAR, ...) meta: severity: ${severity_level:ERROR} message: "Mögliches hartcodiertes Geheimnis erkannt" ``` ### Sicherheit: Unsichere Token-Generierung ```yaml # sg-rules/security/insecure-tokens.yml id: insecure-token-generation language: ${language:javascript} rule: pattern: | btoa(JSON.stringify($OBJ) + '.' + $SECRET) meta: severity: ${severity_level:ERROR} message: "Unsichere Token-Generierung mit Base64" ``` ### Leistung: ${framework:React}-Hook-Abhängigkeiten ```yaml # sg-rules/performance/react-hook-deps.yml id: react-hook-dependency-array language: typescript rule: pattern: | useEffect(() => { $BODY }, [$FUNC]) meta: severity: WARNING message: "Funktionsabhängigkeit kann unendliche Re-Renders verursachen" ``` ### Struktur: Tiefe Verschachtelung ```yaml # sg-rules/structure/deep-nesting.yml id: deep-nesting language: ${language:javascript} rule: any: - pattern: | if ($COND1) { if ($COND2) { if ($COND3) { $BODY } } } - pattern: | for ($INIT) { for ($INIT2) { for ($INIT3) { $BODY } } } meta: severity: WARNING message: "Tiefe Verschachtelung (>${max_nesting:3} Ebenen) - Refactoring in Betracht ziehen" ``` ## Analyse ausführen ```bash # Sicherheitsscan ast-grep run -r sg-rules/security/ # Leistungsscan für ${framework:React}-Dateien ast-grep run -r sg-rules/performance/ --include="*.tsx,*.jsx" # Vollständiger Scan mit JSON-Ausgabe ast-grep run -r sg-rules/ --format=json > analysis-report.json # Interaktiver Modus für Untersuchung ast-grep run -r sg-rules/ --interactive ``` ## Checkliste für Mustererstellung - [ ] Muster entspricht spezifischem Anti-Pattern, nicht allgemeinem Code - [ ] Verwendet `inside` oder `has` für Kontextbeschränkungen - [ ] Enthält `not`-Beschränkungen zur Reduzierung falsch positiver Ergebnisse - [ ] Separate Regeln pro Sprache (JS vs. TS) - [ ] Angemessener Schweregrad (${severity_level:ERROR}/WARNING/INFO) ## Häufige Fehler | Fehler | Symptom | Lösung | |--------|---------|--------| | Zu generische Muster | Viele falsch positive Ergebnisse | Kontextbeschränkungen hinzufügen | | Fehlendes `inside` | Stimmt mit falschen Stellen überein | Mit Elternkontext eingrenzen | | Keine `not`-Klauseln | Stimmt mit gültigen Mustern überein | Bekannte gültige Fälle ausschließen | | JS-Muster auf TS | Typannotationen brechen Übereinstimmung | Sprachspezifische Regeln erstellen | ## Verifikationsschritte 1. **Muster-Genauigkeit testen**: Auf bekannten verwundbaren Codebeispielen ausführen 2. **Falsch-Positiv-Rate prüfen**: Erste ${sample_size:10} Übereinstimmungen manuell überprüfen 3. **Schweregrad validieren**: Bestätigen, dass ${severity_level:ERROR}-Befunde umsetzbar sind 4. **Dateiübergreifende Abdeckung**: Verifizieren, dass Muster über den beabsichtigten Bereich läuft ## Beispielausgabe ``` $ ast-grep run -r sg-rules/ src/components/UserProfile.jsx:15: ${severity_level:ERROR} [insecure-tokens] Unsichere Token-Generierung src/hooks/useAuth.js:8: ${severity_level:ERROR} [hardcoded-secrets] Mögliches hartcodiertes Geheimnis src/components/Dashboard.tsx:23: WARNING [react-hook-deps] Funktionsabhängigkeit src/utils/processData.js:45: WARNING [deep-nesting] Tiefe Verschachtelung erkannt 4 Probleme gefunden (2 Fehler, 2 Warnungen) ``` ## Projekteinrichtung ```bash # ast-grep im Projekt initialisieren ast-grep init # Regelverzeichnisse erstellen mkdir -p sg-rules/{security,performance,structure} # Zur CI-Pipeline hinzufügen # .github/workflows/lint.yml # - run: ast-grep run -r sg-rules/ --format=json ``` ## Benutzerdefinierte Mustervorlagen ### ${framework:React}-spezifische Muster ```yaml # Fehlender Key bei Listen-Rendering id: missing-list-key language: typescript rule: pattern: | $ARRAY.map(($ITEM) => ) constraints: $PROPS: not: has: pattern: 'key={$_}' meta: severity: WARNING message: "Fehlendes Key-Prop bei Listen-Rendering" ``` ### Async/Await-Muster ```yaml # Fehlende Fehlerbehandlung bei Async id: unhandled-async language: ${language:javascript} rule: pattern: | async function $NAME($$$) { $$$BODY } constraints: $BODY: not: has: pattern: 'try { $$$ } catch' meta: severity: WARNING message: "Async-Funktion ohne Try-Catch-Fehlerbehandlung" ``` ## Integration mit CI/CD ```yaml # GitHub-Actions-Beispiel name: AST-Analyse on: [push, pull_request] jobs: analyze: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: ast-grep installieren run: npm install -g @ast-grep/cli - name: Analyse ausführen run: | ast-grep run -r sg-rules/ --format=json > report.json if grep -q '"severity": "${severity_level:ERROR}"' report.json; then echo "Kritische Probleme gefunden!" exit 1 fi ```

AST-Grep-Codeanalyse-Superkraft

Prompt-InhaltSpeichern

Verwendung

Referenzen

Diskussion