jquery35-local-agent

Outil d'automatisation de remédiation de la vulnérabilité jQuery CVE-2020-11023 fonctionnant avec un seul Node.js en réseau fermé (pour projets legacy Java/Spring/JSP · aucune installation npm requise · aucun accès Internet requis · zéro dépendance externe)

Il traite localement l'ensemble du processus nécessaire pour faire passer jQuery en version 3.5+ dans d'anciennes applications web legacy (famille Spring/JSP + jQuery 1.x) : analyse statique exhaustive → correction automatique sûre (génération du TO-BE) → remplacement par jQuery 3.5.1 + Migrate → sonde d'exécution (Runtime Probe) pour l'interface → serveur Lab mock → pack de décision IA → vérification de gate avant mise en production → rapport.

Caractéristiques

• Principe de non-modification de l'original — toutes les modifications sont créées uniquement dans le dossier TO-BE --target. Vérification via le diff scindé AS-IS/TO-BE au clic sur un fichier dans report/index.html, puis application.
• Scanner réduisant les faux positifs — pas de simple regex, mais masquage de tokens (suppression des commentaires/chaînes/regex) + rétro-traçage de la chaîne de récepteurs + parseur d'arguments à équilibrage de parenthèses + suivi de taint intra-fichier (paramètres de callback ajax → promotion vers sink DOM) + inférence de type des sites d'appel sur tout le projet (AutoInferred).
• Correction automatique uniquement pour le sûr — uniquement des changements préventifs fonctionnant à la fois sous jQuery 1.x/3.x, comme .bind→.on, .size()→.length, .attr→.prop pour les booléens. Les candidats XSS comme .html(response) ne sont jamais corrigés automatiquement, seulement classifiés.
• Prise en charge des environnements isolés/anciens — ES5 Runtime Probe pour Edge IE mode (restrictions des outils de développement), préservation des octets des fichiers EUC-KR (round-trip latin1), génération directe de rapports CSV/XLS sans npm.
• Bundle runtime jQuery par défaut — patch-jquery place automatiquement jquery-3.5.1.min.js et jquery-migrate-3.6.0.min.js dans l'arbre TO-BE, la combinaison par défaut est donc exécutable sans préparation de fichiers supplémentaires. La version non minifiée jquery-migrate-3.6.0.js est également incluse pour le Tracing/debug temporaire.
• Pack de revue IA (review-pack) — boucle d'apprentissage itératif de type « vingt questions » avec une IA externe, en sélectionnant uniquement les points de code ambigus (nom de fonction + quelques lignes avant/après, chaînes/commentaires/regex masqués). Si l'on identifie le rôle d'une seule fonction commune propre à l'entreprise (wrapper AJAX, etc.), cette connaissance se propage à tous les sites d'appel. Les connaissances apprises ne déclenchent jamais de correction automatique et n'influencent que la classification.
• Pack de vérification locale Hermes (hermes-pack) — indépendamment des questions à l'IA externe, génère pour chaque CASE les points de vérification statique, les tests Probe/Lab locaux, les critères de réussite/échec, le template de répercussion dans project-profile, et une page web de banc d'essai mock par CASE. Un pack de composants pour accumuler des connaissances de vérification itérative en environnement isolé.
• rulepack pour distribution publique — sépare en rules/*.json les candidats de racine web, les indices d'insertion de Probe, les recommandations de fournisseurs et les réponses mock par défaut. On ajuste en changeant uniquement le rulepack, sans modifier le code JS pour chaque site de déploiement.
• Preuves statiques Java/Spring — sans lancer Spring, lit les annotations de la famille @RequestMapping et les configurations XML pour générer ajaxToServerMap.csv, serverEndpoints.csv, hermes_server_evidence.json, et attache des indices de contrôleur aux routes mock.
• Scénarios de vérification Runtime — fait correspondre les id/class/name/textes de boutons des JSP/HTML avec les sélecteurs JS pour générer dans runtime_scenarios.html les actions de vérification : code-only/static sur le réseau 1, smoke Chrome sur le réseau 2, échantillon final Edge IE mode.
• Analyse Runtime Parity — sépare jusqu'où l'on peut faire confiance aux résultats Local Lab/mock et rapporte les voies LOCAL_LAB_OK, CHROME_SMOKE_REQUIRED, IE_FINAL_SAMPLE_REQUIRED, en générant runtime_parity.html, runtimeParity.csv, ieModeRisk.csv.
• Template Runtime Lab optionnel — le ZIP public n'inclut pas Docker/JDK/Tomcat/WAR, et fournit uniquement le scaffold runtime-lab/ permettant d'expérimenter en déployant le WAR depuis Codex/un PC local.
• Paquet copier-coller de verdict Voyager/IA — pour les situations isolées où les fichiers CSV ne peuvent être transmis, compresse dans voyager_packet.txt le résumé/scénarios/sélecteurs/AJAX, et dans ai_verdict_packet.txt (1000 caractères max) la question de jugement « vérification humaine suffisante / runtime supplémentaire nécessaire / examen IEDriver nécessaire ».
• Artefacts de distribution en environnement isolé — airgap_manifest.json/txt conserve la preuve de non-dépendance/non-communication, et --mode release-zip génère le ZIP pour distribution publique.
• Console web locale — via 실행0_웹대시보드.bat ou --mode ui, gère dans le navigateur la navigation de chemins, le calcul automatique de chemins, le pipeline plan/autofix/patch/Hermes/report, le Local Lab, et l'ouverture des rapports HTML existants.
• Tableau de bord d'agrégation/vérification — dans index.html, consultez d'abord les graphiques par type (event-shortcut-load, etc.) et la distribution par profondeur de répertoire, puis cliquez sur un fichier pour comparer le code environnant AS-IS/TO-BE dans une fenêtre modale.
• Auto-vérification intégrée — --mode self-test crée un projet d'exemple temporaire et valide le cycle complet. La v5.6.10 inclut la configuration automatique source-only, les noms des étapes de la console web S1~S11, l'agrégation par chemin/type, la correction automatique avec préservation des sauts de ligne AS-IS/TO-BE, le placement automatique du jQuery embarqué, le nettoyage des anciens fichiers core, les scénarios d'exécution basés sur les éléments d'interface, ainsi que la parité d'exécution (Runtime Parity) des échantillons code-only/Chrome smoke/IE final et la génération de paquets copier-coller pour les verdicts Voyager/AI.

Démarrage rapide

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

Le navigateur de console s'ouvre à l'adresse http://127.0.0.1:18088/. Il suffit d'y parcourir ou de saisir le source pour que les chemins par défaut TO-BE/report/profile/server-source/verify-source soient calculés automatiquement, puis de l'exécuter via les étapes individuelles S1~S11 ou via Pipeline. Si vous préférez la ligne de commande, ouvrez le tableau de bord report\index.html pour consulter l'état, et suivez l'ordre indiqué dans README_FIRST.txt (analyse → correction automatique → remplacement jQuery → Probe → Lab → verify-clean). Les utilisateurs Windows peuvent exécuter les fichiers fournis 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat après avoir modifié uniquement le chemin en haut de chacun.

Pour un déploiement public ou une application sur un autre site, copiez project-profile.public.sample.json pour créer project-profile.json, et si nécessaire, modifiez uniquement rules/public-defaults.json, rules/vendor-compat.json et rules/mock-defaults.json.

node run-jquery35-v5.js --report ".\release" --mode release-zip

Documentation