GitHub CodeQL dobiva deklarativne sanitizatore i validatore, bez pisanja QL koda

GitHub je u verziji CodeQL 2.25.2 proširio pristup models-as-data novom funkcionalnošću koja omogućuje definiranje sanitizatora i validatora kroz YAML, bez potrebe za pisanjem upita u QL jeziku.

Što su sanitizatori i validatori

Sanitizatori su funkcije koje ulazne podatke čiste od potencijalno opasnih sadržaja, primjerice uklanjaju HTML oznake prije ispisa. Validatori su funkcije koje vraćaju booleov ishod i signaliziraju je li podatak siguran za daljnju obradu. U terminologiji CodeQL-a, sanitizatori se modeliraju kao barriers (prekidi protoka zaraženih podataka), a validatori kao barrier guards (uvjetni prekidi). Do sada su timovi morali pisati vlastite QL upite da bi CodeQL prepoznao njihove interne sigurnosne funkcije. Nove ekstenzibilne predikate barrierModel i barrierGuardModel dovoljno je popuniti kroz YAML model pack.

Podržani jezici i praktični utjecaj

Funkcionalnost pokriva osam programskih jezika: C/C++, C#, Go, Java/Kotlin, JavaScript/TypeScript, Python, Ruby i Rust. Za svaki jezik tim može definirati vlastite ulaze, izlaze i uvjete bez dubokog poznavanja QL-a. GitHub ovaj pomak opisuje kao demokratizaciju statičke analize sigurnosti. Organizacije koje imaju vlastite helper funkcije za escape-anje SQL upita, sanitizaciju HTML-a ili validaciju JWT tokena sada mogu te obrasce dodati u standardni CodeQL skener kroz pull request u svom model pack repozitoriju.

Tko bi trebao probati

Očekuje se da će ovo najviše koristiti security timovi koji rade u većim monorepoima s internim sigurnosnim knjižnicama, kao i open source održavatelji koji žele pokrivati svoje utility funkcije. Funkcionalnost je dostupna uz CodeQL 2.25.2 iz travnja 2026. godine. Za male timove koji već koriste GitHub Advanced Security, ovo je niskorizičan način da prošire pokrivenost bez angažmana QL specijalista. Tipičan primjer upotrebe je organizacija koja je napisala vlastitu funkciju za escape-anje korisničkih ulaza prije SQL upita. Bez ovih ekstenzija, CodeQL bi i dalje prijavljivao false positive upozorenja o SQL injectionu iako je podatak zapravo siguran. Dodavanjem YAML unosa u model pack, ti se false positivei eliminiraju, a analiza ostaje konzistentna kroz pull request-ove. Dokumentacija i primjeri YAML ekstenzija dostupni su u službenom CodeQL repozitoriju, a GitHub najavljuje daljnje proširenje kroz kvartalna ažuriranja.