go sarif

Go-Sarif

O que?

Sarif é o formato de intercâmbio de resultados da análise estática, este projeto procura fornecer uma interface simples para gerar relatórios no formato SARIF.

Relatório de exemplo

Este exemplo é retirado diretamente das páginas da Microsoft Sarif

{
  "version" : " 2.1.0 " ,
  "$schema" : " https://docs.oasis-open.org/sarif/sarif/v2.1.0/errata01/os/schemas/sarif-schema-2.1.0.json " ,
  "runs" : [
    {
      "tool" : {
        "driver" : {
          "name" : " ESLint " ,
          "informationUri" : " https://eslint.org " ,
          "rules" : [
            {
              "id" : " no-unused-vars " ,
              "shortDescription" : {
                "text" : " disallow unused variables "
              },
              "helpUri" : " https://eslint.org/docs/rules/no-unused-vars " ,
              "properties" : {
                "category" : " Variables "
              }
            }
          ]
        }
      },
      "artifacts" : [
        {
          "location" : {
            "uri" : " file:///C:/dev/sarif/sarif-tutorials/samples/Introduction/simple-example.js "
          }
        }
      ],
      "results" : [
        {
          "level" : " error " ,
          "message" : {
            "text" : " 'x' is assigned a value but never used. "
          },
          "locations" : [
            {
              "physicalLocation" : {
                "artifactLocation" : {
                  "uri" : " file:///C:/dev/sarif/sarif-tutorials/samples/Introduction/simple-example.js " ,
                  "index" : 0
                },
                "region" : {
                  "startLine" : 1 ,
                  "startColumn" : 5
                }
              }
            }
          ],
          "ruleId" : " no-unused-vars " ,
          "ruleIndex" : 0
        }
      ]
    }
  ]
}

O que levou isso?

Um dos projetos para os quais gosto de contribuir é o TFSEC - esta é uma ferramenta de análise estática para o Terraform que produz saída em muitos formatos. A geração de relatórios da SARIF está faltando funcionalidade e sentiu que justificou ser transferido para um projeto próprio.

Mais informações sobre Sarif

Para obter mais informações sobre o SARIF, você pode visitar o site aberto do Oasis.

Uso

Adicione uma importação para go get github.com/owenrumney/go-sarif/sarif

Analisando um relatório SARIF

Existem várias maneiras de carregar no conteúdo de um relatório SARIF.

Abrir

sarif.Open segue um caminho de arquivo e carrega o Sarif desse local. Retorna um relatório e qualquer erro correspondente

Frombytes

sarif.FromBytes pega uma fatia de byte e retorna um relatório e qualquer erro correspondente.

De cordas

sarif.FromString pega uma sequência do conteúdo SARIF e retorna um relatório e qualquer erro correspondente.

Criando um novo relatório

Criar um novo relatório SARIF é feito passando pela versão, o único suportado no momento é 2.1.0

Para um exemplo detalhado, verifique o exemplo de pasta Exemplo/main.go