jquery35-local-agent

Ferramenta de automação para correção do jQuery CVE-2020-11023 que roda apenas com Node.js em rede fechada (para projetos legados Java/Spring/JSP · sem necessidade de npm install · sem necessidade de internet · zero dependências externas)

Processa localmente todo o processo necessário para atualizar o jQuery para 3.5+ em aplicações web legadas antigas (linha Spring/JSP + jQuery 1.x): análise estática completa → correção automática segura (geração do TO-BE) → substituição por jQuery 3.5.1 + Migrate → Runtime Probe para telas → servidor Lab mock → pacote de decisão por IA → verificação de gate antes da aplicação em produção → relatório.

Características

• Princípio de não modificação do original — todas as alterações são criadas apenas na pasta TO-BE --target. Verifique no split diff AS-IS/TO-BE do clique no arquivo em report/index.html antes de aplicar.
• Scanner com menos falsos positivos — não é regex simples, mas mascaramento de tokens (remoção de comentários/strings/regex) + rastreamento reverso da cadeia de receivers + parser de argumentos com balanceamento de parênteses + rastreamento de taint intra-arquivo (parâmetros de callback ajax → promoção a sink DOM) + inferência de tipo em callsites de todo o projeto (AutoInferred).
• Autocorreção apenas do que é seguro — apenas alterações preventivas que funcionam tanto no jQuery 1.x quanto no 3.x, como .bind→.on, .size()→.length, boolean .attr→.prop. Candidatos a XSS como .html(response) nunca são autocorrigidos, apenas classificados.
• Suporte a ambientes isolados/legados — ES5 Runtime Probe para Edge IE mode (restrição do devtools), preservação de bytes de arquivos EUC-KR (round-trip latin1), geração direta de relatórios CSV/XLS sem npm.
• Bundle de runtime jQuery padrão — o patch-jquery posiciona automaticamente jquery-3.5.1.min.js e jquery-migrate-3.6.0.min.js na árvore TO-BE, então a combinação padrão pode ser executada sem preparar arquivos separadamente. O jquery-migrate-3.6.0.js não minificado também é incluído para Tracing/debug temporário.
• Pacote de revisão por IA (review-pack) — loop de aprendizado iterativo, como vinte perguntas, com IA externa, selecionando apenas pontos de código ambíguos (nome da função + algumas linhas antes e depois, com strings/comentários/regex mascarados). Se descobrir apenas a função de uma função comum exclusiva da empresa (como um wrapper AJAX), esse conhecimento se propaga para todos os pontos de chamada. O conhecimento aprendido nunca dispara autocorreção, apenas influencia a classificação.
• Pacote de inspeção local Hermes (hermes-pack) — independentemente das perguntas à IA externa, gera pontos de verificação estática de cada CASE, testes locais de Probe/Lab, critérios de aprovação/reprovação, templates de reflexão no project-profile e páginas web de ambiente de teste mock por CASE. Pacote de componentes para acumular conhecimento de inspeção iterativa dentro de redes isoladas.
• rulepack para distribuição pública — separa candidatos a webroot, dicas de inserção de Probe, recomendações de fornecedores e respostas padrão de mock em rules/*.json. Ajuste trocando apenas o rulepack, sem alterar o código JS em cada local de distribuição.
• Evidências estáticas Java/Spring — sem subir o Spring, lê anotações da família @RequestMapping e configurações XML para gerar ajaxToServerMap.csv, serverEndpoints.csv, hermes_server_evidence.json e anexar dicas de controller às rotas mock.
• Cenários de verificação em Runtime — combina id/class/name/texto de botão de JSP/HTML com seletores JS para gerar em runtime_scenarios.html as ações de verificação code-only/static na rede 1, Chrome smoke na rede 2 e amostra final no Edge IE mode.
• Análise de Runtime Parity — separa até onde os resultados de Local Lab/mock podem ser confiáveis, reportando as faixas LOCAL_LAB_OK, CHROME_SMOKE_REQUIRED, IE_FINAL_SAMPLE_REQUIRED e gerando runtime_parity.html, runtimeParity.csv, ieModeRisk.csv.
• Template opcional de Runtime Lab — o ZIP público não inclui Docker/JDK/Tomcat/WAR, fornecendo apenas o scaffold runtime-lab/ para experimentar com WAR no Codex/PC local.
• Pacote de colagem para veredito Voyager/IA — para situações de rede isolada em que não é possível enviar arquivos CSV, compacta resumo/cenários/seletores/AJAX em voyager_packet.txt, e em ai_verdict_packet.txt compacta em até 1000 caracteres a pergunta de julgamento "revisão humana suficiente/necessário runtime adicional/necessário avaliar IEDriver".
• Artefatos de distribuição para rede isolada — registra evidências de ausência de dependências/comunicação em airgap_manifest.json/txt e gera ZIP para distribuição pública com --mode release-zip.
• Console web local — via 실행0_웹대시보드.bat ou --mode ui, trata no navegador a navegação de caminhos, cálculo automático de caminhos, pipeline plan/autofix/patch/Hermes/report, Local Lab e abertura de relatórios HTML existentes.
• Painel de agregação/inspeção — no index.html, visualize primeiro os gráficos por tipo (event-shortcut-load etc.) e a distribuição por profundidade de diretório; ao clicar em um arquivo, compare o código ao redor em AS-IS/TO-BE por meio de um modal.
• Autoverificação integrada — --mode self-test cria um projeto de exemplo temporário e valida o ciclo completo. A v5.6.10 inclui configuração automática source-only, nomes das etapas do console web S1~S11, agregação por caminho/tipo, correção automática com preservação de quebras de linha AS-IS/TO-BE, posicionamento automático do jQuery empacotado, limpeza de arquivos old core, cenários de runtime baseados em elementos de UI, Runtime Parity de amostras code-only/Chrome smoke/IE final e geração de pacote de copiar-colar de veredito Voyager/AI.

Início rápido

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

O console do navegador é aberto em http://127.0.0.1:18088/. Aqui, basta fazer Browse ou inserir o source para que os caminhos padrão de TO-BE/report/profile/server-source/verify-source sejam calculados automaticamente, e então executar as etapas individuais S1~S11 ou o Pipeline. Se preferir o modo por linha de comando, abra o dashboard report\index.html para verificar a situação atual e siga a ordem do README_FIRST.txt (análise → correção automática → substituição de jQuery → Probe → Lab → verify-clean). Usuários do Windows devem apenas modificar os caminhos no topo dos arquivos 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat incluídos e executá-los.

Para distribuição pública/aplicação em outros ambientes, copie project-profile.public.sample.json e crie project-profile.json e, se necessário, modifique apenas rules/public-defaults.json, rules/vendor-compat.json, rules/mock-defaults.json.

node run-jquery35-v5.js --report ".\release" --mode release-zip

Documentação

• README_KO.md — manual completo (critérios de avaliação, descrição dos modos, fluxo Git/CI, FAQ)
• VENDOR_COMPAT_KO.md — resumo de compatibilidade de fornecedores: versões compatíveis com jQuery 3.x de jqGrid/jQuery UI/select2/autoNumeric, CVEs do próprio jQuery UI, mudanças de comportamento que o Migrate não consegue restaurar (tags auto-fechadas, etc.)
• RUN_EXAMPLES_KO.txt — coleção de exemplos de comandos
• README_FIRST.txt — início rápido