jquery35-local-agent

Инструмент автоматизации устранения jQuery CVE-2020-11023, работающий на одном Node.js в изолированной сети (для устаревших проектов Java/Spring/JSP · не требуется npm install · не требуется интернет · 0 внешних зависимостей)

Он локально выполняет весь процесс, необходимый при обновлении jQuery до 3.5+ в старых устаревших веб-приложениях (семейство Spring/JSP + jQuery 1.x): полный статический анализ → безопасное автоматическое исправление (генерация TO-BE) → замена на jQuery 3.5.1 + Migrate → Runtime Probe для экранов → mock Lab-сервер → пакет AI-решений → проверка шлюза перед внедрением в эксплуатацию → отчёт.

Особенности

• Принцип неизменности оригинала — все изменения создаются только в папке TO-BE, указанной в --target. Проверка выполняется через split diff AS-IS/TO-BE по клику на файл в report/index.html, после чего изменения применяются.
• Сканер с уменьшенным числом ложных срабатываний — не просто регулярные выражения, а маскирование токенов (удаление комментариев/строк/регулярных выражений) + обратная трассировка цепочек получателей + парсер аргументов с балансировкой скобок + отслеживание taint внутри файла (повышение параметров ajax-колбэка до DOM sink) + вывод типов по местам вызова во всём проекте (AutoInferred).
• Автоисправление только безопасного — только упреждающие изменения, работающие и в jQuery 1.x, и в 3.x, такие как .bind→.on, .size()→.length, boolean .attr→.prop. Кандидаты на XSS вроде .html(response) никогда не исправляются автоматически, а только классифицируются.
• Поддержка изолированных сетей/устаревших сред — ES5 Runtime Probe для Edge IE mode (с ограничениями инструментов разработчика), сохранение байтов файлов EUC-KR (latin1 round-trip), прямое создание отчётов CSV/XLS без npm.
• Встроенный по умолчанию бандл jQuery runtime — patch-jquery автоматически размещает jquery-3.5.1.min.js и jquery-migrate-3.6.0.min.js в дереве TO-BE, поэтому базовую комбинацию можно запустить без отдельной подготовки файлов. Несжатый jquery-migrate-3.6.0.js включён вместе с ним для временной трассировки/отладки.
• AI-пакет для ревью (review-pack) — цикл, в котором выбираются только неоднозначные участки кода (имя функции + несколько строк до и после, строки/комментарии/регулярные выражения маскируются) и итеративно уточняются с внешним AI в формате игры в «двадцать вопросов». Если выяснить роль одной корпоративной общей функции (например, обёртки AJAX), это знание распространяется на все места вызова. Изученные знания никогда не запускают автоисправление и влияют только на классификацию.
• Локальный пакет проверки Hermes (hermes-pack) — независимо от вопросов к внешнему AI создаёт для каждого CASE статические контрольные точки, локальные тесты Probe/Lab, критерии прохождения/провала, шаблон отражения в project-profile и веб-страницу тестового стенда с моками для каждого CASE. Набор компонентов для накопления знаний повторной проверки внутри изолированной сети.
• Rulepack для публичного распространения — кандидаты веб-корня, подсказки для вставки Probe, рекомендации вендоров и базовые ответы mock вынесены в rules/*.json. В каждом месте развёртывания настраивается только rulepack без изменения JS-кода.
• Статические доказательства Java/Spring — без запуска Spring читает семейство @RequestMapping и XML-конфигурации, создаёт ajaxToServerMap.csv, serverEndpoints.csv, hermes_server_evidence.json и добавляет подсказки контроллеров к mock route.
• Сценарии проверки Runtime — сопоставляет id/class/name/текст кнопок в JSP/HTML с JS selector и создаёт в runtime_scenarios.html действия проверки: code-only/static для сети 1, Chrome smoke для сети 2, финальный образец Edge IE mode.
• Анализ Runtime Parity — разделяет, насколько можно доверять результатам Local Lab/mock, и сообщает о дорожках LOCAL_LAB_OK, CHROME_SMOKE_REQUIRED, IE_FINAL_SAMPLE_REQUIRED, создавая runtime_parity.html, runtimeParity.csv, ieModeRisk.csv.
• Опциональный шаблон Runtime Lab — публичный ZIP не содержит Docker/JDK/Tomcat/WAR, а предоставляет только каркас runtime-lab/, позволяющий развернуть WAR и экспериментировать на Codex/локальном ПК.
• Пакет для копирования в Voyager/AI для вынесения решения — для ситуаций в изолированной сети, где невозможно передать CSV-файл, в voyager_packet.txt сжимаются сводка/сценарии/selector/AJAX, а в ai_verdict_packet.txt в объёме до 1000 символов сжимается вопрос для решения: «достаточно ручной проверки/требуется дополнительный runtime/требуется рассмотрение IEDriver».
• Артефакты развёртывания в изолированной сети — airgap_manifest.json/txt фиксирует доказательства отсутствия зависимостей/связи, а --mode release-zip создаёт ZIP для публичного распространения.
• Локальная веб-консоль — через 실행0_웹대시보드.bat или --mode ui в браузере выполняются Browse путей, автоматический расчёт путей, конвейер plan/autofix/patch/Hermes/report, Local Lab и открытие существующих HTML-отчётов.
• Панель агрегации/проверки — в index.html сначала просматриваются графики по типам (event-shortcut-load и др.) и распределение по глубине каталогов, а при клике на файл в модальном окне сравнивается окружающий код AS-IS/TO-BE.
• Встроенная самопроверка — --mode self-test создаёт временный образец проекта и проверяет полный цикл. v5.6.10 включает автоматическую настройку source-only, названия этапов веб-консоли S1~S11, агрегацию путей/типов, автоисправление с сохранением переносов строк AS-IS/TO-BE, автоматическое размещение встроенного jQuery, очистку старых файлов core, runtime-сценарии на основе элементов UI, Runtime Parity для code-only/Chrome smoke/IE final sample, а также генерацию пакетов для копирования решений Voyager/AI.

Быстрый старт

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

Браузерная консоль открывается по адресу http://127.0.0.1:18088/. Здесь достаточно указать или выбрать source, и базовые пути TO-BE/report/profile/server-source/verify-source будут рассчитаны автоматически; после этого можно запускать отдельные шаги S1~S11 или Pipeline. Если удобнее работать через командную строку, откройте панель report\index.html для просмотра текущего состояния и следуйте порядку из README_FIRST.txt (анализ → автоисправление → замена jQuery → Probe → Lab → verify-clean). Пользователям Windows достаточно изменить только пути в начале прилагаемых файлов 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat и запустить их.

При публичном развёртывании или применении на другом объекте скопируйте project-profile.public.sample.json в project-profile.json, а при необходимости измените только rules/public-defaults.json, rules/vendor-compat.json, rules/mock-defaults.json.

node run-jquery35-v5.js --report ".\release" --mode release-zip

Документация

• README_KO.md — полное руководство (критерии оценки, описание режимов, Git/CI-процессы, FAQ)
• VENDOR_COMPAT_KO.md — справка по совместимости с вендорами: версии jqGrid/jQuery UI/select2/autoNumeric, совместимые с jQuery 3.x, собственные CVE jQuery UI, изменения поведения, которые Migrate не может восстановить (самозакрывающиеся теги и т. п.)
• RUN_EXAMPLES_KO.txt — сборник примеров команд
• README_FIRST.txt — быстрый старт

Все пути в документации (C:\work\legacy-app и т. п.) являются примерами. Замените их на реальные пути вашего проекта.

Требования

Node.js 16+ minimum, Node.js 18+ recommended. И это всё.

Лицензия

MIT