Superpoder de Análise de Código com AST-Grep

--- name: ast-code-analysis-superpower description: Análise de padrões de código baseada em AST usando ast-grep para problemas de segurança, performance e estrutura. Use quando (1) revisar código para vulnerabilidades de segurança, (2) analisar dependências de hooks React ou padrões de performance, (3) detectar anti-padrões estruturais em grandes bases de código, (4) precisar de correspondência sistemática de padrões além da inspeção manual. --- # Análise de Código com AST-Grep A correspondência de padrões AST identifica problemas de código através de reconhecimento estrutural, em vez de leitura linha por linha. A estrutura do código revela relacionamentos ocultos, vulnerabilidades e anti-padrões que a inspeção superficial não detecta. ## Configuração - **Linguagem Alvo**: ${language:javascript} - **Foco da Análise**: ${analysis_focus:security} - **Nível de Severidade**: ${severity_level:ERROR} - **Framework**: ${framework:React} - **Profundidade Máxima de Aninhamento**: ${max_nesting:3} ## Pré-requisitos ```bash # Instalar ast-grep (se não estiver disponível) npm install -g @ast-grep/cli # Ou: mise install -g ast-grep ``` ## Árvore de Decisão: Quando Usar Análise AST ``` Revisão de código necessária? | +-- Código simples ( Revisão manual | +-- Código complexo (aninhado, multi-arquivo, camadas de abstração) | +-- Revisão de segurança necessária? --> Usar padrões de segurança +-- Análise de performance? --> Usar padrões de performance +-- Qualidade estrutural? --> Usar padrões de estrutura +-- Padrões entre arquivos? --> Executar com glob --include ``` ## Categorias de Padrões | Categoria | Foco | Descobertas Comuns | |-----------|------|-------------------| | Segurança | Funções criptográficas, fluxos de autenticação | Segredos codificados, tokens fracos | | Performance | Hooks, loops, async | Re-renderizações infinitas, vazamentos de memória | | Estrutura | Aninhamento, complexidade | Condicionais profundas, manutenibilidade | ## Padrões Essenciais ### Segurança: Segredos Codificados ```yaml # sg-rules/security/hardcoded-secrets.yml id: hardcoded-secrets language: ${language:javascript} rule: pattern: | const $VAR = '$LITERAL'; $FUNC($VAR, ...) meta: severity: ${severity_level:ERROR} message: "Possível segredo codificado detectado" ``` ### Segurança: Geração Insegura de Tokens ```yaml # sg-rules/security/insecure-tokens.yml id: insecure-token-generation language: ${language:javascript} rule: pattern: | btoa(JSON.stringify($OBJ) + '.' + $SECRET) meta: severity: ${severity_level:ERROR} message: "Geração insegura de tokens usando base64" ``` ### Performance: Dependências de Hooks ${framework:React} ```yaml # sg-rules/performance/react-hook-deps.yml id: react-hook-dependency-array language: typescript rule: pattern: | useEffect(() => { $BODY }, [$FUNC]) meta: severity: WARNING message: "Dependência de função pode causar re-renderizações infinitas" ``` ### Estrutura: Aninhamento Profundo ```yaml # sg-rules/structure/deep-nesting.yml id: deep-nesting language: ${language:javascript} rule: any: - pattern: | if ($COND1) { if ($COND2) { if ($COND3) { $BODY } } } - pattern: | for ($INIT) { for ($INIT2) { for ($INIT3) { $BODY } } } meta: severity: WARNING message: "Aninhamento profundo (>${max_nesting:3} níveis) - considere refatorar" ``` ## Executando Análise ```bash # Varredura de segurança ast-grep run -r sg-rules/security/ # Varredura de performance em arquivos ${framework:React} ast-grep run -r sg-rules/performance/ --include="*.tsx,*.jsx" # Varredura completa com saída JSON ast-grep run -r sg-rules/ --format=json > analysis-report.json # Modo interativo para investigação ast-grep run -r sg-rules/ --interactive ``` ## Checklist para Escrita de Padrões - [ ] Padrão corresponde a anti-padrão específico, não código geral - [ ] Usa `inside` ou `has` para restrições de contexto - [ ] Inclui restrições `not` para reduzir falsos positivos - [ ] Regras separadas por linguagem (JS vs TS) - [ ] Severidade apropriada (${severity_level:ERROR}/WARNING/INFO) ## Erros Comuns | Erro | Sintoma | Correção | |------|---------|----------| | Padrões muito genéricos | Muitos falsos positivos | Adicionar restrições de contexto | | Falta de `inside` | Corresponde a locais errados | Escopar com contexto pai | | Sem cláusulas `not` | Corresponde a padrões válidos | Excluir casos conhecidos como válidos | | Padrões JS em TS | Anotações de tipo quebram correspondência | Criar regras específicas por linguagem | ## Etapas de Verificação 1. **Testar precisão do padrão**: Executar em amostras de código conhecidamente vulneráveis 2. **Verificar taxa de falsos positivos**: Revisar primeiros ${sample_size:10} resultados manualmente 3. **Validar severidade**: Confirmar que descobertas de nível ${severity_level:ERROR} são acionáveis 4. **Cobertura entre arquivos**: Verificar se o padrão executa no escopo pretendido ## Exemplo de Saída ``` $ ast-grep run -r sg-rules/ src/components/UserProfile.jsx:15: ${severity_level:ERROR} [insecure-tokens] Geração insegura de tokens src/hooks/useAuth.js:8: ${severity_level:ERROR} [hardcoded-secrets] Possível segredo codificado src/components/Dashboard.tsx:23: WARNING [react-hook-deps] Dependência de função src/utils/processData.js:45: WARNING [deep-nesting] Aninhamento profundo detectado Encontrados 4 problemas (2 erros, 2 avisos) ``` ## Configuração do Projeto ```bash # Inicializar ast-grep no projeto ast-grep init # Criar diretórios de regras mkdir -p sg-rules/{security,performance,structure} # Adicionar ao pipeline de CI # .github/workflows/lint.yml # - run: ast-grep run -r sg-rules/ --format=json ``` ## Modelos de Padrões Personalizados ### Padrões Específicos de ${framework:React} ```yaml # Falta de key na renderização de listas id: missing-list-key language: typescript rule: pattern: | $ARRAY.map(($ITEM) => ) constraints: $PROPS: not: has: pattern: 'key={$_}' meta: severity: WARNING message: "Falta prop key na renderização de lista" ``` ### Padrões Async/Await ```yaml # Falta de tratamento de erros em async id: unhandled-async language: ${language:javascript} rule: pattern: | async function $NAME($$$) { $$$BODY } constraints: $BODY: not: has: pattern: 'try { $$$ } catch' meta: severity: WARNING message: "Função async sem tratamento de erros try-catch" ``` ## Integração com CI/CD ```yaml # Exemplo de GitHub Actions name: Análise AST on: [push, pull_request] jobs: analyze: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Instalar ast-grep run: npm install -g @ast-grep/cli - name: Executar análise run: | ast-grep run -r sg-rules/ --format=json > report.json if grep -q '"severity": "${severity_level:ERROR}"' report.json; then echo "Problemas críticos encontrados!" exit 1 fi ```

Superpoder de Análise de Código com AST-Grep

Conteúdo do PromptSalvar

Uso

Referências

Discussão