JSAnalyzerで静的解析を自動化する：JavaScriptコードの脆弱性検出とセキュリティ監査ガイド

# リポジトリのクローン
git clone https://github.com/jenish-sojitra/JSAnalyzer.git
cd JSAnalyzer

# 依存関係のインストール
pip install -r requirements.txt

# 動作確認
python jsanalyzer.py --version

# 単一ファイルの解析
python jsanalyzer.py --file /path/to/target.js

# ディレクトリ全体の解析
python jsanalyzer.py --dir /path/to/project/src

# レポート出力（JSON形式）
python jsanalyzer.py --dir ./src --output report.json --format json

# jsanalyzer.config.yaml
rules:
  xss:
    enabled: true
    severity: high
  prototype_pollution:
    enabled: true
    severity: critical
  sql_injection:
    enabled: true
    severity: high

exclude:
  - node_modules/
  - dist/
  - "*.min.js"

// 危険なコード例（JSAnalyzerが検出）
document.getElementById('output').innerHTML = userInput;

// 修正後のコード
document.getElementById('output').textContent = userInput;

// 危険なコード例（JSAnalyzerが検出）
function merge(target, source) {
  for (let key in source) {
    target[key] = source[key];  // __proto__ 経由で汚染される可能性
  }
}

// 修正後のコード
function merge(target, source) {
  for (let key in source) {
    if (Object.prototype.hasOwnProperty.call(source, key) && key !== '__proto__') {
      target[key] = source[key];
    }
  }
}

// 危険なコード例（JSAnalyzerが検出）
const result = eval(userProvidedCode);

// 修正方針：evalの使用を避け、代替手段を検討
// JSON.parse や Function コンストラクタの限定使用など

# .github/workflows/security-scan.yml
name: Security Scan

on: [push, pull_request]

jobs:
  jsanalyzer:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: '3.11'

      - name: Install JSAnalyzer
        run: |
          git clone https://github.com/jenish-sojitra/JSAnalyzer.git /tmp/jsanalyzer
          pip install -r /tmp/jsanalyzer/requirements.txt

      - name: Run Security Scan
        run: |
          python /tmp/jsanalyzer/jsanalyzer.py --dir ./src --output report.json --format json

      - name: Check for Critical Issues
        run: |
          CRITICAL=$(cat report.json | jq '.issues | map(select(.severity == "critical")) | length')
          if [ "$CRITICAL" -gt 0 ]; then
            echo "❌ Critical vulnerabilities found: $CRITICAL"
            exit 1
          fi

      - name: Notify Slack on Critical Issues
        if: failure()
        uses: slackapi/slack-github-action@v1
        with:
          payload: |
            {
              "text": "🚨 JSAnalyzer: Critical vulnerability detected in ${{ github.repository }}"
            }
        env:
          SLACK_WEBHOOK_URL: ${{ secrets.SLACK_WEBHOOK }}