El formato SARIF campo a campo

SARIF (Static Analysis Results Interchange Format) es un estándar abierto de OASIS, y su versión 2.1.0 es la que casi todas las herramientas y plataformas leen. Un archivo es un JSON con un campo version y una lista runs: cada run es una ejecución de una herramienta.

Dentro de un run hay dos mitades que conviene no confundir. En tool.driver está la herramienta (nombre, versión) y su lista rules, el catálogo de reglas que sabe aplicar, cada una con su id, su descripción y su nivel por defecto. En results están los hallazgos concretos: cada resultado apunta a su regla con ruleId (y ruleIndex, su posición en la lista) y dice dónde ocurrió.

La ubicación de un resultado está en locations, una lista (un hallazgo puede tocar varios sitios). Cada elemento trae physicalLocation, y dentro dos cosas: artifactLocation, con el uri del archivo (relativo a la raíz del repositorio, o a una base que dice uriBaseId), y region, con la línea donde empieza (startLine) y, si la herramienta quiere, columnas.

Abre informes/analisis-estatico.sarif.

La regla trae un nivel por defecto en defaultConfiguration.level; el resultado puede traer su propio level. El estándar define una escala corta de cuatro niveles, de «ninguno» a «error». Cuando el resultado trae su nivel, ese es el que cuenta para ese hallazgo. Quien normaliza hallazgos debe saber de cuál de los dos campos lee, porque dos herramientas pueden llegar a niveles distintos para un mismo tipo de problema.

Busca el resultado de pedidos/auditoria.py.

Dos resultados pueden compartir regla y estar en archivos distintos: son dos hallazgos, no uno. Lo que los separa es la ubicación. Por eso un lector de SARIF siempre cruza ruleId, uri y startLine antes de decir que dos resultados hablan de lo mismo.

La regla ue.sql-armada aparece dos veces en el informe.

Los resultados y las reglas tienen un campo properties: una bolsa de propiedades donde la herramienta puede guardar lo que quiera. En el informe de Uvilla cada regla trae ahí un security-severity. Ese nombre no lo define SARIF: es una convención que usan algunas plataformas, y otra herramienta podría llamarlo distinto o no ponerlo.

Esto es lo que vuelve difícil normalizar: el estándar fija la forma, pero el significado de lo que va en la bolsa lo fija cada herramienta.