Super-pouvoir d'analyse de code AST-Grep

--- name: ast-code-analysis-superpower description: Analyse de motifs de code basée sur AST avec ast-grep pour les problèmes de sécurité, de performance et structurels. À utiliser quand (1) on examine du code pour des vulnérabilités de sécurité, (2) on analyse les dépendances de hooks React ou les motifs de performance, (3) on détecte des anti-motifs structurels dans de grandes bases de code, (4) on a besoin d'une correspondance de motifs systématique au-delà de l'inspection manuelle. --- # Analyse de code AST-Grep La correspondance de motifs AST identifie les problèmes de code par reconnaissance structurelle plutôt que par lecture ligne par ligne. La structure du code révèle des relations cachées, des vulnérabilités et des anti-motifs que l'inspection superficielle manque. ## Configuration - **Langage cible** : ${language:javascript} - **Focus de l'analyse** : ${analysis_focus:security} - **Niveau de gravité** : ${severity_level:ERROR} - **Framework** : ${framework:React} - **Profondeur d'imbrication maximale** : ${max_nesting:3} ## Prérequis ```bash # Installer ast-grep (si non disponible) npm install -g @ast-grep/cli # Ou : mise install -g ast-grep ``` ## Arbre de décision : quand utiliser l'analyse AST ``` Examen de code nécessaire ? | +-- Code simple ( Examen manuel | +-- Code complexe (imbriqué, multi-fichiers, couches d'abstraction) | +-- Examen de sécurité requis ? --> Utiliser les motifs de sécurité +-- Analyse de performance ? --> Utiliser les motifs de performance +-- Qualité structurelle ? --> Utiliser les motifs de structure +-- Motifs multi-fichiers ? --> Exécuter avec le glob --include ``` ## Catégories de motifs | Catégorie | Focus | Constatations courantes | |-----------|-------|-------------------------| | Sécurité | Fonctions cryptographiques, flux d'authentification | Secrets codés en dur, jetons faibles | | Performance | Hooks, boucles, asynchrone | Rendu infini, fuites de mémoire | | Structure | Imbrication, complexité | Conditionnels profonds, maintenabilité | ## Motifs essentiels ### Sécurité : secrets codés en dur ```yaml # sg-rules/security/hardcoded-secrets.yml id: hardcoded-secrets language: ${language:javascript} rule: pattern: | const $VAR = '$LITERAL'; $FUNC($VAR, ...) meta: severity: ${severity_level:ERROR} message: "Secret potentiellement codé en dur détecté" ``` ### Sécurité : génération de jetons non sécurisée ```yaml # sg-rules/security/insecure-tokens.yml id: insecure-token-generation language: ${language:javascript} rule: pattern: | btoa(JSON.stringify($OBJ) + '.' + $SECRET) meta: severity: ${severity_level:ERROR} message: "Génération de jeton non sécurisée utilisant base64" ``` ### Performance : dépendances de hooks ${framework:React} ```yaml # sg-rules/performance/react-hook-deps.yml id: react-hook-dependency-array language: typescript rule: pattern: | useEffect(() => { $BODY }, [$FUNC]) meta: severity: WARNING message: "La dépendance de fonction peut provoquer des rendus infinis" ``` ### Structure : imbrication profonde ```yaml # sg-rules/structure/deep-nesting.yml id: deep-nesting language: ${language:javascript} rule: any: - pattern: | if ($COND1) { if ($COND2) { if ($COND3) { $BODY } } } - pattern: | for ($INIT) { for ($INIT2) { for ($INIT3) { $BODY } } } meta: severity: WARNING message: "Imbrication profonde (>${max_nesting:3} niveaux) - envisager un refactoring" ``` ## Exécution de l'analyse ```bash # Analyse de sécurité ast-grep run -r sg-rules/security/ # Analyse de performance sur les fichiers ${framework:React} ast-grep run -r sg-rules/performance/ --include="*.tsx,*.jsx" # Analyse complète avec sortie JSON ast-grep run -r sg-rules/ --format=json > analysis-report.json # Mode interactif pour investigation ast-grep run -r sg-rules/ --interactive ``` ## Liste de contrôle pour l'écriture de motifs - [ ] Le motif correspond à un anti-motif spécifique, pas à du code général - [ ] Utilise `inside` ou `has` pour les contraintes de contexte - [ ] Inclut des contraintes `not` pour réduire les faux positifs - [ ] Règles séparées par langage (JS vs TS) - [ ] Gravité appropriée (${severity_level:ERROR}/WARNING/INFO) ## Erreurs courantes | Erreur | Symptôme | Correction | |--------|----------|------------| | Motifs trop génériques | Beaucoup de faux positifs | Ajouter des contraintes de contexte | | `inside` manquant | Correspond à des emplacements incorrects | Délimiter avec le contexte parent | | Pas de clauses `not` | Correspond à des motifs valides | Exclure les cas connus comme bons | | Motifs JS sur TS | Les annotations de type cassent la correspondance | Créer des règles spécifiques au langage | ## Étapes de vérification 1. **Tester la précision du motif** : exécuter sur des échantillons de code vulnérables connus 2. **Vérifier le taux de faux positifs** : examiner manuellement les ${sample_size:10} premières correspondances 3. **Valider la gravité** : confirmer que les constatations de niveau ${severity_level:ERROR} sont exploitables 4. **Couverture multi-fichiers** : vérifier que le motif s'exécute sur la portée prévue ## Exemple de sortie ``` $ ast-grep run -r sg-rules/ src/components/UserProfile.jsx:15: ${severity_level:ERROR} [insecure-tokens] Génération de jeton non sécurisée src/hooks/useAuth.js:8: ${severity_level:ERROR} [hardcoded-secrets] Secret potentiellement codé en dur src/components/Dashboard.tsx:23: WARNING [react-hook-deps] Dépendance de fonction src/utils/processData.js:45: WARNING [deep-nesting] Imbrication profonde détectée 4 problèmes trouvés (2 erreurs, 2 avertissements) ``` ## Configuration du projet ```bash # Initialiser ast-grep dans le projet ast-grep init # Créer les répertoires de règles mkdir -p sg-rules/{security,performance,structure} # Ajouter au pipeline CI # .github/workflows/lint.yml # - run: ast-grep run -r sg-rules/ --format=json ``` ## Modèles de motifs personnalisés ### Motifs spécifiques à ${framework:React} ```yaml # Clé manquante dans le rendu de liste id: missing-list-key language: typescript rule: pattern: | $ARRAY.map(($ITEM) => ) constraints: $PROPS: not: has: pattern: 'key={$_}' meta: severity: WARNING message: "Prop key manquante dans le rendu de liste" ``` ### Motifs async/await ```yaml # Gestion d'erreur manquante dans async id: unhandled-async language: ${language:javascript} rule: pattern: | async function $NAME($$$) { $$$BODY } constraints: $BODY: not: has: pattern: 'try { $$$ } catch' meta: severity: WARNING message: "Fonction async sans gestion d'erreur try-catch" ``` ## Intégration avec CI/CD ```yaml # Exemple GitHub Actions name: Analyse AST on: [push, pull_request] jobs: analyze: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Installer ast-grep run: npm install -g @ast-grep/cli - name: Exécuter l'analyse run: | ast-grep run -r sg-rules/ --format=json > report.json if grep -q '"severity": "${severity_level:ERROR}"' report.json; then echo "Problèmes critiques trouvés !" exit 1 fi ```

Super-pouvoir d'analyse de code AST-Grep

Contenu du PromptEnregistrer

Utilisation

Références

Discussion