Leer y ajustar una regla propia

Una regla de Semgrep es un archivo YAML con un identificador, un mensaje, una severidad, los lenguajes a los que aplica y uno o varios patrones. Los patrones se combinan: dentro de una lista de patrones, todos tienen que cumplirse a la vez; una lista de alternativas se cumple si se cumple cualquiera; y un patrón negado quita de los resultados lo que coincide con él. Un patrón puede usar variables, escritas con el signo de dólar y mayúsculas, que capturan cualquier nombre y obligan a que sea el mismo allí donde se repitan. Los tres puntos significan «cualquier cosa aquí».

Leer una regla es traducirla a una frase. La de Caobo dice: «una función declarada como ruta con app.route, cuyo primer parámetro es numero, y que no lleva el decorador requiere_dueno». Escrita así ya se ve qué deja fuera: cualquier otra forma de declarar una ruta, y cualquier ruta que sea pública a propósito.

Abre el laboratorio y lee ruta-sin-control-de-dueno.yml, luego casos-de-prueba.py. Los casos siguen la convención de pruebas de Semgrep: una anotación ruleid: encima de una línea dice que ahí la regla tiene que avisar, y una ok: dice que ahí no debe hacerlo. salida-de-la-prueba.txt compara lo esperado con lo obtenido. Busca el caso marcado como correcto que, aun así, da resultado, y lee el comentario que explica por qué no debería.

El otro fallo de la prueba es más grave, porque es un falso negativo: una ruta sin control de dueño que la regla no ve. Compara cómo está declarada esa ruta con lo que la regla exige en su primer patrón. El inventario del portal muestra que esa forma de declarar rutas no es una rareza.

Ajustar una regla no es hacer que la prueba pase como sea. El ajuste tiene que cerrar los dos fallos por su causa: la regla debe reconocer todas las formas de declarar una ruta que usa el proyecto y debe excluir lo que el proyecto marca como público a propósito. Y la prueba tiene que seguir teniendo los cuatro casos, más uno por cada forma nueva que se añada.

Aplica la regla ajustada de la tarea anterior a inventario-rutas.txt: avisa en cualquier ruta declarada con cualquiera de las tres formas que recibe un número y no lleva ni requiere_dueno ni publica. Compara con lo que da hoy la regla sin ajustar. La diferencia es el valor del ajuste: menos ruido y ningún hueco.