jquery35-local-agent

Strumento di automazione per la remediation di jQuery CVE-2020-11023 che funziona con il solo Node.js in una rete chiusa (per progetti legacy Java/Spring/JSP · nessun npm install necessario · nessun accesso a Internet necessario · zero dipendenze esterne)

Gestisce localmente l'intero processo necessario quando si deve aggiornare jQuery alla versione 3.5+ in un vecchio sito web legacy (famiglia Spring/JSP + jQuery 1.x): analisi statica completa → correzione automatica sicura (generazione del TO-BE) → sostituzione con jQuery 3.5.1 + Migrate → Runtime Probe per le schermate → server Lab mock → pacchetto di valutazione AI → controllo gate prima dell'applicazione in produzione → report.

Caratteristiche

• Principio di non modificare l'originale — tutte le modifiche vengono create solo nella cartella TO-BE --target. Verifica tramite il diff split AS-IS/TO-BE al clic sul file in report/index.html, poi applica.
• Scanner con meno falsi positivi — non semplici regex, ma token masking (rimozione di commenti/stringhe/regex) + backtracking della catena dei receiver + parser degli argomenti con bilanciamento delle parentesi + tracciamento del taint all'interno del file (parametri di callback ajax → promozione a sink DOM) + inferenza dei tipi dei callsite sull'intero progetto (AutoInferred).
• Autofix solo per ciò che è sicuro — solo modifiche preventive che funzionano sia su jQuery 1.x che 3.x, come .bind→.on, .size()→.length, .attr→.prop per i boolean. Candidati XSS come .html(response) non vengono mai corretti automaticamente, ma solo classificati.
• Supporto per ambienti air-gapped/legacy — ES5 Runtime Probe per Edge IE mode (con limitazioni degli strumenti di sviluppo), preservazione dei byte dei file EUC-KR (round-trip latin1), generazione diretta di report CSV/XLS senza npm.
• Bundle runtime jQuery predefinito — patch-jquery colloca automaticamente jquery-3.5.1.min.js e jquery-migrate-3.6.0.min.js nell'albero TO-BE, quindi la combinazione predefinita è eseguibile senza preparare file aggiuntivi. Il file non minificato jquery-migrate-3.6.0.js è incluso per Tracing/debug temporanei.
• AI review-pack — un loop che seleziona solo i punti di codice ambigui (nome della funzione + alcune righe prima e dopo, con stringhe/commenti/regex mascherati) e apprende iterativamente con un'AI esterna come nel gioco dei venti quesiti. Se si scopre il ruolo di una sola funzione comune aziendale (come un wrapper AJAX), quella conoscenza si propaga a tutti i punti di chiamata. La conoscenza appresa non attiva mai l'autofix, ma influenza solo la classificazione.
• Pacchetto di verifica locale Hermes (hermes-pack) — indipendentemente dalle domande all'AI esterna, genera per ogni CASE i punti di verifica statica, i test Probe/Lab locali, i criteri di superamento/fallimento, i template di riflessione nel project-profile e le pagine web di ambiente di test mock per CASE. Un pacchetto di componenti per accumulare conoscenza di verifica iterativa all'interno di ambienti air-gapped.
• rulepack per distribuzione pubblica — separa in rules/*.json i candidati webroot, gli hint di inserimento dei Probe, le raccomandazioni dei vendor e le risposte mock predefinite. Consente di ottimizzare cambiando solo il rulepack senza modificare il codice JS per ogni destinazione di distribuzione.
• Evidenze statiche Java/Spring — senza avviare Spring, legge le annotazioni della famiglia @RequestMapping e le configurazioni XML, genera ajaxToServerMap.csv, serverEndpoints.csv, hermes_server_evidence.json e aggiunge hint dei controller alle mock route.
• Scenari di verifica Runtime — abbina id/class/name/testo dei pulsanti di JSP/HTML con i selector JS e genera in runtime_scenarios.html le azioni di verifica per rete 1 code-only/static, rete 2 Chrome smoke e campione finale Edge IE mode.
• Analisi Runtime Parity — separa fino a che punto ci si può fidare dei risultati Local Lab/mock, riporta le corsie LOCAL_LAB_OK, CHROME_SMOKE_REQUIRED, IE_FINAL_SAMPLE_REQUIRED e genera runtime_parity.html, runtimeParity.csv, ieModeRisk.csv.
• Template Runtime Lab opzionale — il ZIP pubblico non include Docker/JDK/Tomcat/WAR, ma fornisce solo lo scaffold runtime-lab/ per sperimentare sovrapponendo il WAR su Codex/PC locale.
• Pacchetto copia-incolla per verdetti Voyager/AI — per situazioni air-gapped in cui non è possibile trasmettere file CSV, comprime riepilogo/scenari/selector/AJAX in voyager_packet.txt, e in ai_verdict_packet.txt comprime entro 1000 caratteri la domanda di giudizio "verifica umana sufficiente/necessario runtime aggiuntivo/necessaria valutazione IEDriver".
• Artefatti di distribuzione air-gapped — registra la prova di assenza di dipendenze/comunicazioni tramite airgap_manifest.json/txt e genera il ZIP per la distribuzione pubblica con --mode release-zip.
• Console web locale — tramite 실행0_웹대시보드.bat o --mode ui gestisce dal browser la navigazione dei percorsi, il calcolo automatico dei percorsi, la pipeline plan/autofix/patch/Hermes/report, il Local Lab e l'apertura dei report HTML esistenti.
• Dashboard di aggregazione/verifica — in index.html è possibile consultare prima i grafici per tipo (event-shortcut-load ecc.) e la distribuzione per profondità di directory, quindi cliccando su un file si confrontano i codici circostanti AS-IS/TO-BE in una finestra modale.
• Verifica automatica integrata — --mode self-test crea un progetto di esempio temporaneo e verifica l'intero ciclo. La v5.6.10 include la configurazione automatica source-only, i nomi delle fasi della console web S1~S11, l'aggregazione per percorso/tipo, la correzione automatica con conservazione degli a capo AS-IS/TO-BE, il posizionamento automatico del jQuery in bundle, la pulizia dei vecchi file core, gli scenari runtime basati su elementi UI, e la generazione di pacchetti copia-incolla per la valutazione Runtime Parity di code-only/Chrome smoke/IE final sample e Voyager/AI.

Avvio rapido

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

La console del browser si apre su http://127.0.0.1:18088/. Qui è sufficiente sfogliare o inserire solo il source e i percorsi predefiniti di TO-BE/report/profile/server-source/verify-source vengono calcolati automaticamente; poi è sufficiente eseguire i singoli passaggi S1~S11 oppure Pipeline. Se si preferisce il metodo a riga di comando, aprire la dashboard report\index.html per verificare lo stato e seguire l'ordine indicato in README_FIRST.txt (analisi → correzione automatica → sostituzione jQuery → Probe → Lab → verify-clean). Gli utenti Windows devono modificare solo i percorsi in testa ai file inclusi 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat ed eseguirli.

Per la distribuzione pubblica o l'applicazione in altri contesti, copiare project-profile.public.sample.json per creare project-profile.json e, se necessario, modificare solo rules/public-defaults.json, rules/vendor-compat.json, rules/mock-defaults.json.

node run-jquery35-v5.js --report ".\release" --mode release-zip

Documentazione