Référence DSL .sca — StaticCodeAudit par CodeFixture

Ce document décrit la syntaxe complète des fichiers de règles .sca. Chaque fichier définit une règle de détection autonome.

1. Structure d'une règle

Un fichier .sca contient une seule règle. Structure minimale :

rule mon_id_de_regle
  language  python
  severity  HIGH

  match
    pattern  mon_pattern_regex
  end

  risk
    en: English risk description
    fr: Description du risque en français
  end
  solution
    en: English fix
    fr: Correction en français
  end
end

↑ Retour au sommaire

2. Mots-clés de la règle

↑ Retour au sommaire

3. Bloc match (détection par pattern)

Le bloc match définit les patterns à détecter dans le code. Répétable (plusieurs blocs = OU).

3.1 Mots-clés du bloc match

3.2 Scopes

3.3 text vs pattern

match
  text  .execute(
  with-text  f"*"
  scope  context-4
end

match
  pattern  \.execute\s*\(.*f["']
  scope  context-4
end

↑ Retour au sommaire

4. Bloc requires (conditions fichier)

Le bloc requires définit des conditions sur le fichier. Si utilisé seul (sans match), le finding est au niveau du fichier (ligne 1). Si combiné avec match, il sert de pré-filtre.

Exemples

# Fichier Flask sans logging
requires
  has      @app\.route
  not_has  import\s+logging
end

# Fichier trop long
requires
  min_lines  500
end

# Code vendor sans LICENSE
requires
  path_contains  vendor/
  not_path_has_file  LICENSE
  not_path_has_file  LICENSE.md
end

↑ Retour au sommaire

5. Analyse taint (source → sink)

L'analyse taint trace le flux de données depuis des sources (entrées utilisateur) vers des sinks (fonctions dangereuses), sauf si un sanitizer intervient.

Types de sources (kind=) : http, stdin, cli, env, file, network

rule taint_sqli
  language  python
  severity  HIGH

  source  request\.args\.get\(   kind=http
  source  request\.form\[        kind=http
  source  input\s*\(             kind=stdin

  sink    \.execute\s*\(
  sink    \.executemany\s*\(

  sanitizer  \bint\s*\(
  sanitizer  psycopg2\.sql\.SQL
end

↑ Retour au sommaire

6. Blocs i18n (risk, solution, message)

Les blocs risk, solution, benefit et message supportent la traduction en 4 langues :

risk
  en: User input in SQL query allows injection.
  fr: Entrée utilisateur dans la requête SQL permet l'injection.
  es: Entrada de usuario en consulta SQL permite inyección.
  de: Benutzereingabe in SQL-Abfrage ermöglicht Injection.
end

↑ Retour au sommaire

7. Bloc metadata (CWE, CVE, OWASP, ISO, WCAG)

metadata
  cwe       CWE-89
  cwe       CWE-90
  cve       CVE-2021-44228
  owasp     A03:2021
  iso27001  A.8.28 A.8.25
  asvs      5.3.4
  wcag      1.1.1
end

Toutes les clés multi-valeurs (cwe, cve, iso27001, asvs, wcag) acceptent plusieurs tokens sur la même ligne (cwe  CWE-89 CWE-90) ou des lignes répétées — les valeurs sont accumulées.

La classification metadata est propagée à tous les exports : HTML (liens clickables), JSON (objet finding.compliance) et SARIF (rule.properties.tags).

↑ Retour au sommaire

8. Modes d'exécution

Le mode est inféré automatiquement depuis les blocs présents :

↑ Retour au sommaire

9. Exemples complets

9.1 Détection simple (texte brut)

rule console_log_residual
  language  javascript
  severity  LOW
  category  ux

  match
    text  console.log(
  end

  risk
    en: console.log() calls left in production code.
    fr: Appels console.log() laissés en production.
  end
  solution
    en: Remove console.log() or use a logging system.
    fr: Supprimer les console.log() ou utiliser un système de logging.
  end
end

9.2 Pattern avec exclusion (context)

rule insecure_cookie
  language  python
  severity  MEDIUM

  match
    pattern  \.set_cookie\s*\(
    pattern-not  (?:httponly\s*=\s*True|secure\s*=\s*True)
    scope    context-4
  end

  risk
    en: Cookie without HttpOnly/Secure flags.
    fr: Cookie sans flags HttpOnly/Secure.
  end
  solution
    en: Add httponly=True, secure=True, samesite="Lax".
    fr: Ajouter httponly=True, secure=True, samesite="Lax".
  end
end

9.3 Condition fichier seule

rule file_too_long
  language  python
  severity  LOW
  category  arch

  requires
    min_lines  500
  end

  risk
    en: Very long files are difficult to maintain.
    fr: Les fichiers très longs sont difficiles à maintenir.
  end
  solution
    en: Split into smaller, focused modules.
    fr: Découper en modules plus petits et focalisés.
  end
end

9.4 Combo match + requires

rule missing_auth_decorator
  language  python
  severity  MEDIUM

  match
    pattern  @app\.route\s*\(\s*[\"'](?:/admin|/api/delete)
    pattern-not  @login_required
    scope    context-4
  end

  risk
    en: Admin route without authentication decorator.
    fr: Route admin sans décorateur d'authentification.
  end
  solution
    en: Add @login_required on all sensitive routes.
    fr: Ajouter @login_required sur toutes les routes sensibles.
  end
end

9.5 Analyse taint (injection SQL)

rule taint_sqli
  language  python
  severity  HIGH
  confidence  90

  source  request\.args\.get\(  kind=http
  source  request\.form\[      kind=http
  sink    \.execute\s*\(
  sink    \.executemany\s*\(
  sanitizer  psycopg2\.sql\.SQL
  sanitizer  \bint\s*\(

  risk
    en: Tainted data flows into SQL query without parameterization.
    fr: Données non fiables atteignent une requête SQL sans paramétrage.
  end
  solution
    en: Use parameterized queries with placeholders (%s, ?).
    fr: Utilisez des requêtes paramétrées avec placeholders (%s, ?).
  end

  metadata
    cwe    CWE-89
    owasp  A03:2021
  end
end

9.6 Vérification de gouvernance vendor

rule unreviewed_vendor_code
  language  python
  severity  LOW
  category  maintenance

  requires
    path_contains       vendor/
    path_contains       third-party/
    not_path_has_file   LICENSE
    not_path_has_file   NOTICE
  end

  risk
    en: Vendor code without LICENSE file.
    fr: Code tiers sans fichier LICENSE.
  end
  solution
    en: Add LICENSE file to vendor directories.
    fr: Ajouter un fichier LICENSE aux répertoires vendor.
  end
end

↑ Retour au sommaire

10. Glossaire

↑ Retour au sommaire

StaticCodeAudit — CodeFixture | Documentation DSL v1.0