AST-Grep 代码分析超级能力

--- name: ast-code-analysis-superpower description: 使用ast-grep进行基于AST的代码模式分析，用于安全、性能和结构问题。适用于（1）审查代码安全漏洞，（2）分析React钩子依赖或性能模式，（3）在大型代码库中检测结构性反模式，（4）需要超越人工检查的系统性模式匹配。 --- # AST-Grep代码分析 AST模式匹配通过结构识别而非逐行阅读来发现代码问题。代码结构揭示了表面检查遗漏的隐藏关系、漏洞和反模式。 ## 配置 - **目标语言**：${language:javascript} - **分析重点**：${analysis_focus:security} - **严重级别**：${severity_level:ERROR} - **框架**：${framework:React} - **最大嵌套深度**：${max_nesting:3} ## 前置条件 ```bash # 安装ast-grep（如果不可用） npm install -g @ast-grep/cli # 或：mise install -g ast-grep ``` ## 决策树：何时使用AST分析 ``` 需要代码审查？ | +-- 简单代码（ 人工审查 | +-- 复杂代码（嵌套、多文件、抽象层） | +-- 需要安全审查？--> 使用安全模式 +-- 性能分析？--> 使用性能模式 +-- 结构质量？--> 使用结构模式 +-- 跨文件模式？--> 使用--include glob运行 ``` ## 模式类别 | 类别 | 重点 | 常见发现 | |----------|-------|-----------------| | 安全 | 加密函数、认证流程 | 硬编码密钥、弱令牌 | | 性能 | 钩子、循环、异步 | 无限重渲染、内存泄漏 | | 结构 | 嵌套、复杂度 | 深层条件、可维护性 | ## 基本模式 ### 安全：硬编码密钥 ```yaml # sg-rules/security/hardcoded-secrets.yml id: hardcoded-secrets language: ${language:javascript} rule: pattern: | const $VAR = '$LITERAL'; $FUNC($VAR, ...) meta: severity: ${severity_level:ERROR} message: "检测到可能的硬编码密钥" ``` ### 安全：不安全的令牌生成 ```yaml # sg-rules/security/insecure-tokens.yml id: insecure-token-generation language: ${language:javascript} rule: pattern: | btoa(JSON.stringify($OBJ) + '.' + $SECRET) meta: severity: ${severity_level:ERROR} message: "使用base64生成不安全的令牌" ``` ### 性能：${framework:React}钩子依赖 ```yaml # sg-rules/performance/react-hook-deps.yml id: react-hook-dependency-array language: typescript rule: pattern: | useEffect(() => { $BODY }, [$FUNC]) meta: severity: WARNING message: "函数依赖可能导致无限重渲染" ``` ### 结构：深层嵌套 ```yaml # sg-rules/structure/deep-nesting.yml id: deep-nesting language: ${language:javascript} rule: any: - pattern: | if ($COND1) { if ($COND2) { if ($COND3) { $BODY } } } - pattern: | for ($INIT) { for ($INIT2) { for ($INIT3) { $BODY } } } meta: severity: WARNING message: "深层嵌套（>${max_nesting:3}层）- 考虑重构" ``` ## 运行分析 ```bash # 安全扫描 ast-grep run -r sg-rules/security/ # 对${framework:React}文件进行性能扫描 ast-grep run -r sg-rules/performance/ --include="*.tsx,*.jsx" # 完整扫描并输出JSON ast-grep run -r sg-rules/ --format=json > analysis-report.json # 交互模式进行调查 ast-grep run -r sg-rules/ --interactive ``` ## 模式编写检查清单 - [ ] 模式匹配特定反模式，而非通用代码 - [ ] 使用`inside`或`has`进行上下文约束 - [ ] 包含`not`约束以减少误报 - [ ] 每种语言单独规则（JS与TS） - [ ] 适当的严重级别（${severity_level:ERROR}/WARNING/INFO） ## 常见错误 | 错误 | 症状 | 修复 | |---------|---------|-----| | 模式过于通用 | 大量误报 | 添加上下文约束 | | 缺少`inside` | 匹配错误位置 | 使用父上下文限定范围 | | 没有`not`子句 | 匹配有效模式 | 排除已知正确情况 | | 在TS上使用JS模式 | 类型注解破坏匹配 | 创建语言特定规则 | ## 验证步骤 1. **测试模式准确性**：在已知漏洞代码样本上运行 2. **检查误报率**：手动审查前${sample_size:10}个匹配项 3. **验证严重级别**：确认${severity_level:ERROR}级别的发现可操作 4. **跨文件覆盖**：验证模式在预期范围内运行 ## 示例输出 ``` $ ast-grep run -r sg-rules/ src/components/UserProfile.jsx:15: ${severity_level:ERROR} [insecure-tokens] 不安全的令牌生成 src/hooks/useAuth.js:8: ${severity_level:ERROR} [hardcoded-secrets] 检测到可能的硬编码密钥 src/components/Dashboard.tsx:23: WARNING [react-hook-deps] 函数依赖 src/utils/processData.js:45: WARNING [deep-nesting] 检测到深层嵌套 发现4个问题（2个错误，2个警告） ``` ## 项目设置 ```bash # 在项目中初始化ast-grep ast-grep init # 创建规则目录 mkdir -p sg-rules/{security,performance,structure} # 添加到CI流水线 # .github/workflows/lint.yml # - run: ast-grep run -r sg-rules/ --format=json ``` ## 自定义模式模板 ### ${framework:React}特定模式 ```yaml # 列表渲染中缺少key id: missing-list-key language: typescript rule: pattern: | $ARRAY.map(($ITEM) => ) constraints: $PROPS: not: has: pattern: 'key={$_}' meta: severity: WARNING message: "列表渲染中缺少key属性" ``` ### 异步/等待模式 ```yaml # 异步中缺少错误处理 id: unhandled-async language: ${language:javascript} rule: pattern: | async function $NAME($$$) { $$$BODY } constraints: $BODY: not: has: pattern: 'try { $$$ } catch' meta: severity: WARNING message: "异步函数缺少try-catch错误处理" ``` ## 与CI/CD集成 ```yaml # GitHub Actions示例 name: AST分析 on: [push, pull_request] jobs: analyze: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: 安装ast-grep run: npm install -g @ast-grep/cli - name: 运行分析 run: | ast-grep run -r sg-rules/ --format=json > report.json if grep -q '"severity": "${severity_level:ERROR}"' report.json; then echo "发现严重问题！" exit 1 fi ```

AST-Grep 代码分析超级能力

提示词内容收藏

用法

参考资料

讨论