Потенциальные уязвимости в инструментах генерации кода

Question

Я работаю над созданием инструмента генерации кода с использованием JHipster. Он выдает подсказки в CLI, с помощью которых клиент может выбрать, а затем генерируется необходимый пакет Java для уровня CRUD микросервиса. Генератор кода в конвейере встраивает пакет в JAR-файл развертывания. Что еще можно сделать в области безопасности, помимо одобренных инструментов сканирования кода? Есть ли ссылки на модели потенциальных угроз для аналогичных инструментов, потенциальных уязвимостей или проблем безопасности, которые мы можем использовать в качестве ссылки или руководства по аналогичным инструментам генерации кода на основе Jhipster? Спасибо !

Используемые: инструменты сканирования кода, такие как Semgrep.

Answer 1

Генератор JHipster — это узловое приложение, поэтому вы можете сканировать его как любое другое узловое приложение, используяnpm auditили другой инструмент, совместимый с npm, то же самое и для вашего собственного инструмента.

Затем наиболее важной частью является сканирование сгенерированного кода как части вашей цепочки инструментов непрерывной интеграции (sonarqube, snyk, gitlab, ..) и сканирование уязвимых зависимостей (плагин зависимостей maven owasp, ...).