用于 CodeQL 分析的 JavaScript 和 TypeScript 查询

当您选择 default 或 security-extended 查询套件时，浏览 CodeQL 用于分析使用 JavaScript 或 TypeScript 编写的代码的查询。

谁可以使用此功能？

CodeQL 可用于以下存储库类型：

GitHub.com 上的公共存储库，请参阅 GitHub CodeQL 条款和条件
启用了 GitHub Advanced Security 的 GitHub Enterprise Cloud 上的组织拥有的存储库

CodeQL 包含许多用来分析 JavaScript 或 TypeScript 代码的查询。默认情况下，default 查询套件中的所有查询都会运行。如果选择使用 security-extended 查询套件，则会运行其他查询。有关详细信息，请参阅“CodeQL 查询套件”。

用于 JavaScript 和 TypeScript 分析的内置查询

下表列出了最新版本的 CodeQL 操作和 CodeQL CLI 的可用查询。有关详细信息，请参阅 CodeQL 文档中的 CodeQL 更改日志。

查询名称	相关的 CWE	默认	延期	Copilot Autofix
存档提取期间的任意文件访问权限（“Zip Slip”）	022
错误的 HTML 筛选正则表达式	020、080、116、184、185、186
区分大小写的中间件路径	178
敏感信息的明文存储	312、315、359
敏感 Cookie 的明文传输	614、311、312、319
敏感信息的明文记录	312、359、532
客户端跨站脚本	079、116
客户端的 URL 重定向	079、116、601
代码注入	094、095、079、116
凭证传输的 CORS 错误配置	346、639、942
从加密安全来源创建有偏差的随机数	327
不受限制的目标源的跨窗口通信	201、359
从用户控制的来源生成的数据库查询	089、090、943
使用未加密信道下载依赖项	300、319、494、829
用户控制数据的反序列化	502
停用证书验证	295、297
停用 Electron webSecurity	79
停用 SCE	116
DOM 文本重新解释为 HTML	079、116
双重编译	1176
双重转义，或取消转义	116、020
通过不安全的连接下载敏感文件	829
启用 Electron allowRunningInsecureContent	494
异常文本重新解释为 HTML	079、116
专用文件泄露	200、219、548
操作中的表达式注入	094
硬编码凭证	259、321、798
电子邮件生成中的主机头中毒	640
不当的代码清理	094、079、116
包含来自不受信任来源的功能	830
对 HTML 属性的不完整清理	079、116、020
不完整的多字符清理	020、080、116
验证主机名的正则表达式不完整	020
不完整字符串转义或编码	020、080、116
URL 方案检查不完整	020、184
不完整的 URL 子字符串清理	020
后缀检查错误	020
低效的正则表达式	1333、730、400
通过堆栈跟踪的信息泄露	209、497
Helmet 安全中间件的不安全配置	693、1021
不安全的随机性	338
不安全的 URL 白名单	183、625
JWT 缺失机密或公钥验证	347
循环绑定注入	834、730
CSRF 中间件缺失	352
速率限制缺失	770、307、400
过于宽松的正则表达式范围	020
用于不受控制数据的多项式正则表达式	1333、730、400
污染原型的分配	078、079、094、400、471、915
污染原型的函数	078、079、094、400、471、915
污染原型的合并调用	078、079、094、400、471、915
反射型跨站脚本	079、116
正则表达式注入	730、400
用自身替换子字符串	116
资源耗尽	400、770
深度对象遍历造成的资源耗尽	400
二阶命令注入	078、088
从 GET 请求所读取的敏感数据	598
向客户端开放的敏感服务器 Cookie	1004
服务器故障	248、730
服务器端请求伪造	918
服务器端的 URL 重定向	601
基于环境值而生成的 Shell 命令	078、088
生成工件中敏感信息的存储	312、315、359
GitHub Actions 项目中的敏感信息存储	312、315、359
存储的跨站脚本	079、116
模板对象的注入	073、094
通过参数篡改进行的类型混淆	8:43
不受控命令行	078、088
路径表达式中使用的不受控数据	022、023、036、073、099
`cat` 流程的不必要使用	078
动态方法的不安全访问	094
自闭合 HTML 标记的不安全扩展	079、116
从库输入构造的 HTML 代码	079、116
不安全的 jQuery 插件	079、116
从库输入构造的不安全 shell 命令	078、088
脚本或其他内容中使用的不受信任的域	830
未验证的动态方法调用	754
使用已破解或较弱的加密算法	327、328
使用弱加密密钥	326
使用外部控制的格式字符串	134
使用计算量不足的密码哈希	916
无用的正则表达式字符转义	020
XML 外部实体扩展	611、827
XML 内部实体扩展	776、400
XPath 注入	643
服务器端请求伪造	918
配置文件内的空密码	258、862
放弃会话失败	384
出站网络请求内的文件数据	200
硬编码的数据解释为代码	506
间接的不受控命令行	078、088
不安全的临时文件	377、378
日志注入	117
`postMessage` 处理程序中源验证缺失	020、940
正则表达式定位点缺失	020
网络数据写入文件	912、434
密码存储在配置文件内	256、260、313、522
可能的文件系统争用条件	367
远程属性注入	250、400
没有 SameSite 限制的敏感 Cookie	1275
从资料库输入构造的不安全代码	094、079、116
用户控制绕过安全性检查	807、290