Formato SARIF y consolidar resultados

SARIF es el formato de intercambio de resultados de análisis estático que publicó OASIS; la versión de uso general es la 2.1.0. Un archivo tiene una lista de corridas; cada corrida dice qué herramienta la hizo, con su lista de reglas, y trae sus resultados. Cada resultado nombra su regla (ruleId), su nivel (error, warning, note o none), su mensaje y sus ubicaciones, y puede traer flujos de código con la ruta de datos, supresiones con su tipo, su estado y su justificación, y un estado respecto de una corrida anterior.

Hay un campo pensado para seguir un resultado en el tiempo: las huellas parciales (partialFingerprints). Son valores que la herramienta calcula para reconocer el mismo resultado en la corrida siguiente aunque el archivo haya cambiado y las líneas se hayan movido. Cada herramienta las calcula a su manera, así que sirven entre corridas de la misma herramienta, no entre herramientas distintas.

Abre el laboratorio y lee semgrep-cotizador.sarif y codeql-cotizador.sarif. Las dos herramientas tienen reglas para los mismos problemas con identificadores distintos. Para saber que dos resultados son el mismo fallo, el equipo junta por archivo, línea y tipo de debilidad: en el archivo de CodeQL el CWE va en las etiquetas de cada regla. Busca la pareja de la redirección.

Una supresión en SARIF dice de qué tipo es (en el código o fuera de él) y en qué estado está: aceptada, en revisión o rechazada. Solo la aceptada debería quitar un resultado de la lista de abiertos. Busca en el archivo de Semgrep la supresión cuyo estado no es aceptada y compárala con lo que dice tablero-exportado.csv para esa misma ubicación.

Consolida los dos archivos con el criterio del equipo: un fallo es un archivo, una línea y un tipo de debilidad, venga de una herramienta o de las dos. Cuenta también los que tienen supresión, porque siguen en el código. No cuentes los resultados que el estado respecto de la corrida anterior marca como desaparecidos: notas.txt explica por qué ya no están.

El estado respecto de la corrida anterior (baselineState) puede ser nuevo, sin cambios, actualizado o ausente. Ausente quiere decir que el resultado estaba en la corrida de referencia y en esta no aparece. Eso no prueba que se corrigiera: el código pudo borrarse, moverse o dejar de analizarse. El tablero de Caobo no lee ese campo y sigue mostrando como abiertas las filas del módulo heredado.