🔎 CodeQL 2.26.3 ไม่ได้แค่เพิ่มภาษา แต่ทำให้การไล่ Data Flow …

🔎 CodeQL 2.26.3 ไม่ได้แค่เพิ่มภาษา แต่ทำให้การไล่ Data Flow ในระบบจริงละเอียดขึ้น

ปัญหาของ Static Analysis คือโค้ดที่ดูปลอดภัยในไฟล์หนึ่ง อาจกลายเป็นความเสี่ยงเมื่อข้อมูลไหลผ่าน Workflow, Framework หรือ Helper อีกชั้นหนึ่ง

CodeQL 2.26.3 เพิ่มการทำความเข้าใจ ref, shallowRef, toRef, reactive และ computed ของ Vue Composition API รวมถึง useRoute() ของ Vue Router และแหล่งข้อมูลจาก GitHub Actions บางจุด ทำให้ Query มองเส้นทางของข้อมูลได้ใกล้กับโค้ดที่ทีมใช้งานจริงขึ้น

สิ่งที่ควรรู้ก่อนอัปเดต:

• ตรวจจับ Untrusted Data จาก github.event.merge_group ใน Workflow ได้ดีขึ้น • Custom Model ของ JavaScript/TypeScript อ้างอิงไฟล์ผ่าน package name ได้ • Query ด้าน Actions หลายรายการปรับจุดเริ่มต้นของ Path ให้ไล่สาเหตุง่ายขึ้น • มี Breaking Change: โมดูล codeql.actions.security.SelfHostedQuery ถูกนำออก

ความหมายเชิงปฏิบัติคือ CodeQL ไม่ควรถูกมองเป็นแค่รายงาน Alert หลังเขียนโค้ดเสร็จ แต่เป็นแผนที่สำหรับตรวจว่า Input จาก CI หรือ Web Route เดินทางไปถึงจุดอ่อนได้อย่างไร

ทีมที่มี Custom Query ควรค้นหา SelfHostedQuery และทดสอบ Workflow Query ก่อนอัปเดต ส่วนทีมที่ใช้ Vue หรือ GitHub Actions จะได้ประโยชน์จาก Modeling ที่ละเอียดขึ้น แต่ไม่ควรตีความว่าเครื่องมือแทนการ Review ได้ทั้งหมด เพราะผลลัพธ์ยังขึ้นกับ Query และ Context ของระบบ

ลิงก์อยู่ในคอมเมนต์แรก คุณใช้ Static Analysis เพื่อหา Bug หรือเพื่อทำความเข้าใจ Data Flow มากกว่ากัน? ติดตาม SynapTech AI สำหรับมุมมองเทคโนโลยีที่เอาไปใช้ต่อได้จริง

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech