jquery35-local-agent

Herramienta de automatización para la remediación de jQuery CVE-2020-11023 que funciona únicamente con Node.js en redes cerradas (para proyectos legacy Java/Spring/JSP · no requiere npm install · no requiere internet · cero dependencias externas)

Procesa localmente todo el proceso necesario cuando hay que actualizar jQuery a 3.5+ en webs legacy antiguas (familia Spring/JSP + jQuery 1.x): análisis estático exhaustivo → corrección automática segura (generación del TO-BE) → sustitución por jQuery 3.5.1 + Migrate → Runtime Probe para pantallas → servidor Lab mock → paquete de veredicto con IA → comprobación de puerta antes del despliegue en producción → informe.

Características

• Principio de no modificar el original — todos los cambios se generan únicamente en la carpeta TO-BE --target. Se confirman mediante el diff dividido AS-IS/TO-BE al hacer clic en los archivos de report/index.html y luego se aplican.
• Escáner que reduce los falsos positivos — no una simple regex, sino enmascaramiento de tokens (eliminación de comentarios/strings/regex) + retroceso de la cadena de receptores + parser de argumentos con balanceo de paréntesis + seguimiento de taint dentro del archivo (promoción de parámetros de callback ajax → sink DOM) + inferencia de tipos en todos los call sites del proyecto (AutoInferred).
• Autocorrección solo de lo seguro — únicamente cambios preventivos que funcionan tanto en jQuery 1.x como en 3.x, como .bind→.on, .size()→.length, .attr→.prop para booleanos. Candidatos a XSS como .html(response) nunca se autocorrigen, solo se clasifican.
• Soporte para entornos cerrados/antiguos — ES5 Runtime Probe para Edge IE mode (con restricciones del devtools), preservación de bytes de archivos EUC-KR (round-trip latin1), generación directa de informes CSV/XLS sin npm.
• Bundle de runtime jQuery por defecto — patch-jquery coloca automáticamente jquery-3.5.1.min.js y jquery-migrate-3.6.0.min.js en el árbol TO-BE, por lo que la combinación por defecto se puede ejecutar sin preparar archivos adicionales. El jquery-migrate-3.6.0.js sin comprimir se incluye también para Tracing/debug temporal.
• AI review-pack — un bucle que selecciona solo los puntos de código ambiguos (nombre de función + unas líneas antes y después, con strings/comentarios/regex enmascarados) y aprende iterativamente con una IA externa como en el juego de las veinte preguntas. Si se descubre únicamente el rol de una función común propia de la empresa (como un wrapper AJAX), ese conocimiento se propaga a todos los sitios de llamada. El conocimiento aprendido nunca dispara autocorrecciones, solo influye en la clasificación.
• Hermes local review-pack (hermes-pack) — independientemente de las preguntas a la IA externa, genera los puntos de verificación estática de cada CASE, pruebas locales Probe/Lab, criterios de aprobado/fallido, plantillas de reflejo en project-profile y páginas web de banco de pruebas con mocking por CASE. Un pack de componentes para acumular conocimiento de revisión iterativa dentro de entornos cerrados.
• rulepack para distribución pública — separa en rules/*.json los candidatos de webroot, las pistas de inserción de Probe, las recomendaciones de proveedores y las respuestas mock por defecto. Permite ajustar cambiando solo el rulepack sin modificar el código JS en cada destino de distribución.
• Evidencia estática Java/Spring — sin levantar Spring, lee las anotaciones de la familia @RequestMapping y la configuración XML para generar ajaxToServerMap.csv, serverEndpoints.csv, hermes_server_evidence.json, y añade pistas de controlador a las rutas mock.
• Escenarios de verificación en Runtime — hace coincidir los id/class/name/texto de botones de JSP/HTML con los selectores JS para generar en runtime_scenarios.html las acciones de verificación code-only/static en la red 1, Chrome smoke en la red 2 y muestra final en Edge IE mode.
• Análisis de Runtime Parity — separa hasta dónde se puede confiar en los resultados de Local Lab/mock e informa los carriles LOCAL_LAB_OK, CHROME_SMOKE_REQUIRED, IE_FINAL_SAMPLE_REQUIRED, generando runtime_parity.html, runtimeParity.csv, ieModeRisk.csv.
• Plantilla opcional de Runtime Lab — el ZIP público no incluye Docker/JDK/Tomcat/WAR; solo proporciona el esqueleto runtime-lab/ para experimentar montando el WAR en Codex o en un PC local.
• Paquete de copia y pega para veredicto Voyager/AI — para situaciones de red cerrada donde no se pueden transferir archivos CSV, comprime el resumen/escenarios/selectores/AJAX en voyager_packet.txt, y en ai_verdict_packet.txt comprime en 1000 caracteres o menos la pregunta de juicio "suficiente con revisión humana / se requiere runtime adicional / se requiere evaluar IEDriver".
• Artefactos de distribución para red cerrada — deja constancia de la ausencia de dependencias/comunicaciones en airgap_manifest.json/txt, y genera el ZIP para distribución pública con --mode release-zip.
• Consola web local — mediante 실행0_웹대시보드.bat o --mode ui, permite desde el navegador explorar rutas, calcular rutas automáticamente, ejecutar el pipeline plan/autofix/patch/Hermes/report, Local Lab y abrir informes HTML existentes.
• Panel de control de agregación/revisión — en index.html, primero consulte los gráficos por tipo (event-shortcut-load, etc.) y la distribución por profundidad de directorio; al hacer clic en un archivo, se comparan el código circundante AS-IS/TO-BE en un modal.
• Autoverificación integrada — --mode self-test crea un proyecto de muestra temporal y valida el ciclo completo. v5.6.10 incluye configuración automática source-only, nombres de pasos de la consola web S1~S11, agregación de rutas/tipos, autocorrección con preservación de saltos de línea AS-IS/TO-BE, despliegue automático de jQuery empaquetado, limpieza de archivos old core, escenarios de tiempo de ejecución basados en elementos de UI, Runtime Parity de muestras code-only/Chrome smoke/IE final, y generación de paquetes de copiado para dictámenes de Voyager/AI.

Inicio rápido

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

El navegador de consola se abre en http://127.0.0.1:18088/. Aquí, basta con explorar o introducir solo el source para que las rutas predeterminadas de TO-BE/report/profile/server-source/verify-source se calculen automáticamente, y se ejecuten los pasos individuales S1~S11 o el Pipeline. Si prefieres el método por comandos, abre el panel report\index.html para consultar el estado y sigue el orden de README_FIRST.txt (análisis → autocorrección → reemplazo de jQuery → Probe → Lab → verify-clean). Los usuarios de Windows deben modificar solo las rutas superiores de los archivos adjuntos 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat y ejecutarlos.

Para distribución pública o aplicación en otros entornos, copia project-profile.public.sample.json y créalo como project-profile.json, y si es necesario, modifica solo rules/public-defaults.json, rules/vendor-compat.json, rules/mock-defaults.json.

node run-jquery35-v5.js --report ".\release" --mode release-zip

Documentación