Ho guardato sul Web per trovare il modo per trovare bug di sicurezza specialmente SQL Injection e XSS nel codice Scala con scarso successo. Alcuni post consigliavano di scrivere rivelatori personalizzati per il plug-in FindBugs, altri erano più focalizzati sugli strumenti di qualità del codice. Mi manca qualcosa qui o non ci sono iniziative / progetti / strumenti open source disponibili per questo scopo?
Codacy (una piattaforma di revisione automatica del codice) ha implementato schemi di sicurezza di Scala.
C'è un post sul blog con i primi 9 modelli e se ti rechi alla lista dei modelli nella documentazione puoi filtrare per sicurezza per controllare gli altri (ne uscirà presto altri).
Il modo in cui funziona Codacy è di accedere alla piattaforma, indirizzarla al tuo repository git e analizza ciascuno dei tuoi commit, facendoti sapere se hai creato / risolto eventuali problemi (siano essi stile di codifica / performance / complessità / sicurezza / eccetera). C'è anche una versione locale.
La codifica ti dà la massima flessibilità per personalizzare le regole che usi e persino crearne di tue.
È gratuito per progetti Open Source.
Se esistono modelli di progettazione comuni come <?=$_GET['blah']?> di php, puoi facilmente scrivere alcune espressioni regolari per rilevarle con uno strumento basato su grep come graudit o VisualCodeGrepper . Per un'analisi più approfondita, tuttavia, è molto probabile che tu debba scrivere un token o un parser AST e applicare il tracciamento dell'inquinamento. La pagina di analisi statica di wikipedia può essere un buon punto di partenza: link
Leggi altre domande sui tag source-code static-analysis secure-coding opensource