Superpoder de Análisis de Código AST-Grep

--- name: ast-code-analysis-superpower description: Análisis de patrones de código basado en AST usando ast-grep para problemas de seguridad, rendimiento y estructurales. Úsalo cuando (1) revises código en busca de vulnerabilidades de seguridad, (2) analices dependencias de hooks de React o patrones de rendimiento, (3) detectes anti-patrones estructurales en bases de código grandes, (4) necesites coincidencia de patrones sistemática más allá de la inspección manual. --- # Análisis de Código AST-Grep La coincidencia de patrones AST identifica problemas de código mediante reconocimiento estructural en lugar de lectura línea por línea. La estructura del código revela relaciones ocultas, vulnerabilidades y anti-patrones que la inspección superficial pasa por alto. ## Configuración - **Lenguaje objetivo**: ${language:javascript} - **Enfoque de análisis**: ${analysis_focus:security} - **Nivel de severidad**: ${severity_level:ERROR} - **Framework**: ${framework:React} - **Profundidad máxima de anidamiento**: ${max_nesting:3} ## Requisitos previos ```bash # Instalar ast-grep (si no está disponible) npm install -g @ast-grep/cli # O: mise install -g ast-grep ``` ## Árbol de decisión: Cuándo usar análisis AST ``` ¿Revisión de código necesaria? | +-- Código simple ( Revisión manual | +-- Código complejo (anidado, multi-archivo, capas de abstracción) | +-- ¿Se requiere revisión de seguridad? --> Usar patrones de seguridad +-- ¿Análisis de rendimiento? --> Usar patrones de rendimiento +-- ¿Calidad estructural? --> Usar patrones de estructura +-- ¿Patrones entre archivos? --> Ejecutar con glob --include ``` ## Categorías de patrones | Categoría | Enfoque | Hallazgos comunes | |-----------|---------|-------------------| | Seguridad | Funciones criptográficas, flujos de autenticación | Secretos codificados, tokens débiles | | Rendimiento | Hooks, bucles, async | Re-renderizados infinitos, fugas de memoria | | Estructura | Anidamiento, complejidad | Condicionales profundos, mantenibilidad | ## Patrones esenciales ### Seguridad: Secretos codificados ```yaml # sg-rules/security/hardcoded-secrets.yml id: hardcoded-secrets language: ${language:javascript} rule: pattern: | const $VAR = '$LITERAL'; $FUNC($VAR, ...) meta: severity: ${severity_level:ERROR} message: "Posible secreto codificado detectado" ``` ### Seguridad: Generación de tokens insegura ```yaml # sg-rules/security/insecure-tokens.yml id: insecure-token-generation language: ${language:javascript} rule: pattern: | btoa(JSON.stringify($OBJ) + '.' + $SECRET) meta: severity: ${severity_level:ERROR} message: "Generación de tokens insegura usando base64" ``` ### Rendimiento: Dependencias de hooks de ${framework:React} ```yaml # sg-rules/performance/react-hook-deps.yml id: react-hook-dependency-array language: typescript rule: pattern: | useEffect(() => { $BODY }, [$FUNC]) meta: severity: WARNING message: "La dependencia de función puede causar re-renderizados infinitos" ``` ### Estructura: Anidamiento profundo ```yaml # sg-rules/structure/deep-nesting.yml id: deep-nesting language: ${language:javascript} rule: any: - pattern: | if ($COND1) { if ($COND2) { if ($COND3) { $BODY } } } - pattern: | for ($INIT) { for ($INIT2) { for ($INIT3) { $BODY } } } meta: severity: WARNING message: "Anidamiento profundo (>${max_nesting:3} niveles) - considera refactorizar" ``` ## Ejecución del análisis ```bash # Escaneo de seguridad ast-grep run -r sg-rules/security/ # Escaneo de rendimiento en archivos ${framework:React} ast-grep run -r sg-rules/performance/ --include="*.tsx,*.jsx" # Escaneo completo con salida JSON ast-grep run -r sg-rules/ --format=json > analysis-report.json # Modo interactivo para investigación ast-grep run -r sg-rules/ --interactive ``` ## Lista de verificación para escribir patrones - [ ] El patrón coincide con un anti-patrón específico, no con código general - [ ] Usa `inside` o `has` para restricciones de contexto - [ ] Incluye restricciones `not` para reducir falsos positivos - [ ] Reglas separadas por lenguaje (JS vs TS) - [ ] Severidad apropiada (${severity_level:ERROR}/WARNING/INFO) ## Errores comunes | Error | Síntoma | Solución | |-------|---------|----------| | Patrones demasiado genéricos | Muchos falsos positivos | Agregar restricciones de contexto | | Falta `inside` | Coincide en ubicaciones incorrectas | Delimitar con contexto padre | | Sin cláusulas `not` | Coincide con patrones válidos | Excluir casos conocidos como válidos | | Patrones JS en TS | Las anotaciones de tipo rompen la coincidencia | Crear reglas específicas por lenguaje | ## Pasos de verificación 1. **Probar precisión del patrón**: Ejecutar en muestras de código vulnerables conocidas 2. **Verificar tasa de falsos positivos**: Revisar manualmente los primeros ${sample_size:10} coincidencias 3. **Validar severidad**: Confirmar que los hallazgos de nivel ${severity_level:ERROR} son accionables 4. **Cobertura entre archivos**: Verificar que el patrón se ejecuta en el alcance previsto ## Ejemplo de salida ``` $ ast-grep run -r sg-rules/ src/components/UserProfile.jsx:15: ${severity_level:ERROR} [insecure-tokens] Generación de tokens insegura src/hooks/useAuth.js:8: ${severity_level:ERROR} [hardcoded-secrets] Posible secreto codificado src/components/Dashboard.tsx:23: WARNING [react-hook-deps] Dependencia de función src/utils/processData.js:45: WARNING [deep-nesting] Anidamiento profundo detectado Se encontraron 4 problemas (2 errores, 2 advertencias) ``` ## Configuración del proyecto ```bash # Inicializar ast-grep en el proyecto ast-grep init # Crear directorios de reglas mkdir -p sg-rules/{security,performance,structure} # Agregar al pipeline de CI # .github/workflows/lint.yml # - run: ast-grep run -r sg-rules/ --format=json ``` ## Plantillas de patrones personalizados ### Patrones específicos de ${framework:React} ```yaml # Falta key en renderizado de listas id: missing-list-key language: typescript rule: pattern: | $ARRAY.map(($ITEM) => ) constraints: $PROPS: not: has: pattern: 'key={$_}' meta: severity: WARNING message: "Falta prop key en renderizado de listas" ``` ### Patrones Async/Await ```yaml # Falta manejo de errores en async id: unhandled-async language: ${language:javascript} rule: pattern: | async function $NAME($$$) { $$$BODY } constraints: $BODY: not: has: pattern: 'try { $$$ } catch' meta: severity: WARNING message: "Función async sin manejo de errores try-catch" ``` ## Integración con CI/CD ```yaml # Ejemplo de GitHub Actions name: Análisis AST on: [push, pull_request] jobs: analyze: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Instalar ast-grep run: npm install -g @ast-grep/cli - name: Ejecutar análisis run: | ast-grep run -r sg-rules/ --format=json > report.json if grep -q '"severity": "${severity_level:ERROR}"' report.json; then echo "¡Se encontraron problemas críticos!" exit 1 fi ```

Superpoder de Análisis de Código AST-Grep

Contenido del PromptGuardar

Uso

Referencias

Discusión