一 ·Source

1.强类型对象函数调用的返回值

代码示例

func main() {
    router := gin.Default()

    router.POST("/post", func(c *gin.Context) {
        id := c.Query("id") //定义c.Query的返回值为source
        page := c.DefaultQuery("page", "0")
        name := c.PostForm("name")
        message := c.PostForm("message")

        fmt.Printf("id: %s; page: %s; name: %s; message: %s", id, page, name, message)
    })
    router.Run(":8080")
}

在这段代码中，c.Query("id") 从一个HTTP请求的URL参数中获取值。因为HTTP请求完全由用户控制，所以这个返回值是不可信的、危险的。如果它被直接用于数据库查询（SQL注入）或输出到网页（XSS），就会造成安全风险。

"FuncCallReturnValueTaintSource":[
  {
    "fsig": "Query",           // 函数名
    "calleeType": "*gin.Context", // 调用者的类型
    "values": [                // 指定哪个返回值是Source
      "0"                     // 第一个返回值（索引为0）
    ],
    "scopeFile": "all",       // 规则生效的范围：所有文件
    "scopeFunc": "all"        // 规则生效的范围：所有函数
  },
  ...
]

详解JSON

• "FuncCallReturnValueTaintSource":

  • 这是什么：这是一个规则数组，专门用于配置哪些函数调用的返回值应该被标记为污染源（Source）。

  • 为什么用这个：因为 c.Query("id") 正是一个函数调用，并且它的返回值是我们关心的源。

• "fsig": "Query":

  • 含义：fsig 是 “function signature” 的缩写。这里你指定了函数名为 Query。

  • 作用：YASA 会寻找所有名为 Query 的函数调用。

• "calleeType": "*gin.Context":

  • 含义：callee 指“被调用者”。calleeType 限制了函数调用发生的位置。这里指定了调用 Query 方法的对象类型必须是 *gin.Context（Gin框架的上下文指针类型）。

  • 为什么重要：这是非常关键的精确匹配条件。很多不同的库或结构体可能都有 Query 方法。通过这个字段，你确保了这条规则只匹配 gin.Context 的 Query 方法，而不会误伤其他无关的 Query 方法（例如，数据库查询相关的 Query）。这大大减少了误报。

• "values": [ "0" ]:

  • 含义：指定函数返回的多个值中，哪一个应该被标记为源。Go 语言支持函数返回多个值。

  • "0" 表示第一个返回值。对于 c.Query("id")，它只返回一个值（string），所以这个 "0" 指的就是这个字符串值。

  • 举例：如果一个函数返回 (value, error)，那么 "values": [ "0" ] 表示只将 value 标记为源，而 error 不是。

• "scopeFile": "all" 和 "scopeFunc": "all":

  • 含义：这条规则的应用范围。"all" 表示在分析所有文件中的所有函数时，只要遇到 *gin.Context.Query() 的调用，就将其返回值标记为 Source。

  • 替代方案：你也可以将其范围缩小，例如只针对某个特定的文件 ("scopeFile": "api/user.go") 或某个特定的函数 ("scopeFunc": "getUserById")，以提高精确度或避免一些误报。

func main() {
    route := gin.Default()
    route.GET("/:name/:id", func(c *gin.Context) {
        var person Person // 1. 声明一个干净的 Person 结构体变量

        // 2. 调用 ShouldBindUri，并传入 person 变量的地址 (&person)
        if err := c.ShouldBindUri(&person); err != nil {
            c.JSON(400, gin.H{"msg": err.Error()})
            return
        }
        // 3. 此时，person 结构体的字段（如 Name, ID）已被填充为HTTP请求中的用户数据
        c.JSON(200, gin.H{"name": person.Name, "uuid": person.ID}) // <- 如果person.Name/ID未经验证直接使用，可能危险
    })
    route.Run(":8088")
}

"FuncCallArgTaintSource":[
  {
    "fsig": "ShouldBindUri",     // 函数名
    "calleeType": "*gin.Context", // 调用者的类型
    "args": [                    // 指定哪个参数是Source的“入口”
      "0"                       // 第一个参数（索引为0）
    ],
    "scopeFile": "all",         // 规则生效的范围：所有文件
    "scopeFunc": "all"          // 规则生效的范围：所有函数
  },
  ...
]

func main() {
    router := gin.Default()

    router.GET("/user/:id", func(c *gin.Context) {
        // 1. 从 c.Params 这个属性中读取数据
        id := c.Params.ByName("id")  // C.Params是source

        // 2. 从 c.Accepted 这个属性（切片）中读取数据
        accepted := c.Accepted[0] 

        // 其他逻辑...
        c.JSON(200, gin.H{
            "id":         id,       // <- 来自 c.Params
            "accepted":   accepted, // <- 来自 c.Accepted
        })
    })
    router.Run()
}

"TaintSource": [
  {
    "path": "Params",          // 属性（字段）的名称
    "className": "*gin.Context", // 该属性所属的结构体类型
    "scopeFile": "all",        // 规则生效的范围：所有文件
    "scopeFunc": "all"         // 规则生效的范围：所有函数
  },
  ...
]