cq

Code Queryは、汎用的なコードセキュリティスキャンツールです。

CQは、コード内のセキュリティ脆弱性や、セキュリティに焦点を当てたコードレビュー担当者にとって関心のあるその他の項目をスキャンします。 検出された問題への参照を含むテキストファイルを出力ディレクトリに出力します。これらの出力ファイルは、grepなどのUnixコマンドラインツールでフィルタリングしたり、指定されたfile:line参照でコードベースに「ジャンプ」する手段として使用したりできます。

一般的な使用方法の1つは、出力ファイルを「todo」リストとみなすことです。レビューして誤検知と判断した参照を削除するか、参照をレポートファイルにコピーして詳細にレビューするか、バグレポートの基礎とします。

このツールは非常に基本的で、大半が手動であり、アプリケーションセキュリティの脆弱性とコードレビューに関する深い知識を前提としています。 ただし、比較的高速で信頼性が高く、部分的なコードしか利用できない場合でも動作するという利点があります。

CQはCode Query、またはSécurité、またはCQD、または「Seek You」です。

使用目的

CQは、人間の専門家によるセキュリティコードレビューの文脈での使用を意図しています。自動化されたシナリオでの使用は意図されていませんが、そのような文脈で適用される可能性はあります。

CQはプレーンテキストファイルを出力し、通常は1行に1つの検出結果を、コードベース内の位置を表す完全パス:行番号の形式で出力します。この形式は、grep、wc、sedなどの標準的なUnixコマンドラインユーティリティや、vi、Sublime Text、Atom、Visual Studio Codeなどの多くのエディタの行ベース機能を使用して簡単に操作できるようにするために使用されます。

関心のあるすべての項目を報告することに重点を置いているため、ほぼすべてのコードベースで多くの関心ポイントを検出できますが、同時に多数の「誤検知」も報告します。これらの誤検知は、行ベースの報告方法により、検査または自動化された方法で結果から除去できます。

問題に関する説明はほとんど、またはまったく提供されません。報告された問題の文脈、影響、特性を理解していることを前提としています。