SonarJS自定义规则编写咨询：误报优化及两项技术疑问

1. SonarJS是否支持数据流分析（追踪Ajax响应到HTML输出的流程） #

当然支持！SonarJS内置了**污点分析（Taint Analysis）**能力，专门用来追踪数据从不可信源（比如Ajax响应、用户输入）到危险输出点（比如innerHTML、document.write）的流转路径，这正是你优化持久型XSS检查、减少误报的核心工具。

在自定义规则中，你可以：

• 标记不可信数据源：比如把XMLHttpRequest的响应、fetch返回的结果标记为“污点”；
• 标记危险输出sink：比如innerHTML、outerHTML这类会解析HTML的API；
• 利用SonarJS的数据流API追踪污点是否直接流向sink，中间有没有经过安全转义（比如escapeHtml这类函数）——如果有转义，就可以排除这个case，减少误报。

我之前做自定义XSS规则时，就是靠正确配置污点源和sink，把误报率降了一大截。

2. SonarJS插件是否具备解析"+"字符串拼接的工具 #

必须有！SonarJS的AST（抽象语法树）解析器会把字符串拼接表达式解析成BinaryExpression节点，你可以通过SonarJS的规则API轻松遍历和拆解这类节点。

比如针对表达式 <input value="' + this.name + '">，你可以：

• 用规则中的visitBinaryExpression方法捕获所有operator为"+"的节点；
• 递归分析左右操作数：如果一边是字符串字面量（比如'<input value="'），另一边是变量/表达式（比如this.name），就可以提取出这个可变部分；
• 结合污点分析，判断这个可变部分是否来自不可信源，如果是，再触发XSS告警——这样就能避免把完全可信的字符串拼接（比如固定文本拼接）误判成漏洞。

举个简单的伪代码片段：

visitBinaryExpression(node) {
  if (node.operator === '+') {
    // 检查左操作数是否是字符串字面量
    if (isStringLiteral(node.left)) {
      // 提取右操作数作为待检查的变量
      const userControlledPart = node.right;
      // 结合污点分析判断是否为不可信数据
      if (isTainted(userControlledPart)) {
        // 触发告警
        reportIssue(node, "可能存在持久型XSS风险：不可信数据直接拼接进HTML");
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者Siming Yao