如何解决Github Advanced Security扫描中jQuery html()方法引发的ESLint错误

核心问题 #

我们通过Azure DevOps流水线结合GitHub Advanced Security做代码安全扫描时，ESLint的@microsoft/sdl/no-html-method和@microsoft/sdl/no-inner-html规则触发了高严重级别的违规提示，但这些提示均来自已更新至最新版本的jQuery、jQuery Validation、Bootstrap等标准库内部的.html()调用。并非这些库的调用本身存在安全风险，而是工具未结合上下文就标记所有相关调用，属于误报。

可行解决方案 #

1. 调整ESLint规则配置 #

• 全局禁用规则：在项目根目录的.eslintrc.js（或对应格式的配置文件）中，将两条误报规则设为"off"：

  module.exports = {
    rules: {
      "@microsoft/sdl/no-html-method": "off",
      "@microsoft/sdl/no-inner-html": "off"
    }
  };
  

• 局部禁用特定代码：如果不想全局关闭规则，可针对引入第三方库的代码块添加禁用注释：

  /* eslint-disable @microsoft/sdl/no-html-method, @microsoft/sdl/no-inner-html */
  import $ from 'jquery';
  import 'jquery-validation';
  import 'bootstrap';
  /* eslint-enable @microsoft/sdl/no-html-method, @microsoft/sdl/no-inner-html */
  

  也可针对单个调用行临时禁用：

  $('.target').html(content); // eslint-disable-line @microsoft/sdl/no-html-method
  

2. 让ESLint忽略第三方库文件 #

在项目的.eslintignore文件中添加第三方依赖的路径，直接跳过对这些文件的扫描：

node_modules/

如果是自定义引入的库文件，可单独指定路径：

src/vendor/jquery.min.js
src/vendor/bootstrap.min.js

3. 缩小GitHub Advanced Security的扫描范围 #

在Azure DevOps流水线的GitHub Advanced Security扫描任务中，配置excludePaths参数，只扫描项目业务代码，排除第三方依赖文件：

- task: GitHubAdvancedSecurity@1
  inputs:
    repoName: '你的仓库名称'
    excludePaths: 'node_modules/, src/vendor/'

4. 反馈误报优化规则 #

既然是工具未结合上下文导致的误报，可通过官方渠道提交问题，说明这些标准库的.html()调用属于安全场景，请求优化规则的检测逻辑，减少不必要的误报。

内容的提问来源于stack exchange，提问作者Lincoln Lourens