Static Analysis ルール

概要

Datadog Static Analysis は、すぐに使えるルールを提供し、コードレビューにおける CI/CD パイプラインの違反を検出し、バグ、セキュリティ、保守性の問題を特定するのに役立ちます。詳細については、Static Analysis ドキュメントを参照してください。

ルール

Python コードを書くためのベストプラクティスに従う

ルールセット ID: python-best-practices

効率的でバグのないコードを書くための Python のベストプラクティス。

クラス名が読めるようにするAMBIGUOUS-CLASS-NAME 関数名が読めるようにするAMBIGUOUS-FUNCTION-NAME 変数名が読めるようにするAMBIGUOUS-VARIABLE-NAME any タイプを使用しないANY-TYPE-DISALLOW 同じ名前の引数を持たないARGUMENT-SAME-NAME assertraises は特定の例外をチェックしなければならないASSERTRAISES-SPECIFIC-EXCEPTION 辞書の重複キーを避けるAVOID-DUPLICATE-KEYS 文字列の連結を避けるAVOID-STRING-CONCAT クラスメソッドは self を使うべきではないCLASS-METHODS-USE-SELF 反復処理中に辞書を変更しないCOLLECTION-WHILE-ITERATING todo と fixme コメントは所有権を持たなければならないCOMMENT-FIXME-TODO-OWNERSHIP 比較では、変数はそのままにしておかなければならないCOMPARISON-CONSTANT-LEFT if 条件が異なるコードブロックでなければならないCONDITION-SIMILAR-BLOCK __exit__ と __enter__ の両方が定義されていることを確認するCTX-MANAGER-ENTER-EXIT-DEFINED データクラスで特別なメソッドを使用しないDATACLASS-SPECIAL-METHODS チェックイコールは一貫した基本型に使用されるEQUAL-BASIC-TYPES 例外がベース例外を継承するようにするEXCEPTION-INHERIT finally ブロック内で break や continue を使用しないFINALLY-NO-BREAK-CONTINUE-RETURN 関数は一度だけ定義しなければならないFUNCTION-ALREADY-EXISTS 関数の引数に代入しないFUNCTION-VARIABLE-ARGUMENT-NAME ジェネリック例外を使用する場合は、最後にするGENERIC-EXCEPTION-LAST getter/setter must have 1 or 2 arguments respectivelyGET-SET-ARGUMENTS if 条件が値を返す場合、else は不要であるIF-RETURN-NO-ELSE モジュールが 2 度インポートされたIMPORT-MODULES-TWICE インポートするモジュールは、1 つのインポートステートメントにつき 1 つだけIMPORT-SINGLE-MODULE super() を使って親コンストラクタを呼び出すINIT-CALL-PARENT クラスに __init__ メソッドがあることを確認するINIT-METHOD-REQUIRED __init__ 関数でリターンしないINIT-NO-RETURN-VALUE strip() 引数に重複文字を指定してはならないINVALID-STRIP-CALL ロギング関数でフォーマット文字列を使用しないLOGGING-NO-FORMAT メソッドが属性と同じ名前を持つMETHOD-HIDDEN ネストされたブロックを増やしすぎないNESTED-BLOCKS 本番コードで assert を使用しないNO-ASSERT タプルにアサートしないNO-ASSERT-ON-TUPLES むき出しの except を使用しないNO-BARE-EXCEPT 特定の例外がない限り、raise ステートメントを使用しないNO-BARE-RAISE ベース例外を発生させないNO-BASE-EXCEPTION datetime.today() を使用しないNO-DATETIME-TODAY 二重否定を使用しないNO-DOUBLE-NOT 演算子 -- と ++ を使用しないNO-DOUBLE-UNARY-OPERATOR ベースクラスを一度だけ使用するNO-DUPLICATE-BASE-CLASS 演算子 =+ と =- を使用しないNO-EQUAL-UNARY exit() を使用しないNO-EXIT ジェネリック例外を使用しないNO-GENERIC-EXCEPTION 条件において true と比較しないNO-IF-TRUE range(len(<array>)) で for i を使用しないNO-RANGE-LOOP-WITH-LEN パスステートメントを持つ例外を無視しないNO-SILENT-EXCEPTION 読み取り用のオープンフラグを定義しないOPEN-ADD-FLAG os.environ に代入しても環境はクリアされないOS-ENVIRON-NO-ASSIGN notimplemented を発生させない - 存在しないRAISING-NOT-IMPLEMENTED __bytes__ メソッドは文字列ではなくバイトを返すべきであるRETURN-BYTES-NOT-STRING 関数の外にリターンしないRETURN-OUTSIDE-FUNCTION 自分自身に割り当てないSELF-ASSIGNMENT __slots__ は単一の文字列であってはならないSLOTS-NO-SINGLE-STRING 特別なメソッドが正しい引数を持つようにするSPECIAL-METHODS-ARGUMENTS 静的メソッドのパラメーターとして self を使用しないSTATIC-METHOD-NO-SELF ネストされた if 条件を使いすぎないTOO-MANY-NESTED-IF ネストされたループや条件を使いすぎないTOO-MANY-WHILE type の代わりに isinstance を使うTYPE-CHECK-ISINSTANCE 到達不可能なコードを避けるUNREACHABLE-CODE 値が呼び出し可能かどうかをチェックするために hasattr を使わないUSE-CALLABLE-NOT-HASATTR

Python コードスタイルの強制

ルールセット ID: python-code-style

Python コードスタイルを強制するルール。

変数名は snake_case を使用しなければならないASSIGNMENT-NAMES クラス名はキャメルケースでなければならないCLASS-NAME 関数名とパラメーターには snake_case を使用するFUNCTION-NAMING クラスは 100 行以下でなければならないMAX-CLASS-LINES 関数は 200 行以下でなければならないMAX-FUNCTION-LINES

Python プログラムの構造チェック

ルールセット ID: python-design

ネストされたループのようなものを含む、Python プログラムの構造をチェックするためのルール。

関数は 100 行以下でなければならないFUNCTION-TOO-LONG

Django のベストプラクティスとセキュリティのチェック

ルールセット ID: python-django

Django のベストプラクティスとセキュリティに特化したルール。

ユーザーデータのサニタイズの欠如HTTP-RESPONSE-FROM-REQUEST json データを送信するには、httpresponse の代わりに jsonresponse を使うHTTP-RESPONSE-WITH-JSON-DUMPS jsonresponse に content-type を指定しないJSONRESPONSE-NO-CONTENT-TYPE charfield には常に max_length を指定するMODEL-CHARFIELD-MAX-LENGTH モデルの列をドキュメント化するために help_text を使用するMODEL-HELP-TEXT nullbooleanfield を使用しないNO-NULL-BOOLEAN __unicode__ を使用しないNO-UNICODE-ON-MODELS リクエストからのファイル名OPEN-FILENAME-FROM-REQUEST 受信リクエストからのコマンドOS-SYSTEM-FROM-REQUEST 受信リクエストからのコマンドSUBPROCESS-FROM-REQUEST 可能な限りコンビニエンスインポートを使用するUSE-CONVENIENCE-IMPORTS

Flask のベストプラクティスとセキュリティのチェック

ルールセット ID: python-flask

Flask のベストプラクティスとセキュリティに特化したルール。

text() は sql インジェクションにつながるので使用しないDISABLE-SQLALCHEMY-TEXT api 呼び出しのための未サニタイズデータの使用HTML-FORMAT-FROM-USER-INPUT アプリケーションはすべてのインターフェイスをリッスンすべきではないLISTEN-ALL-INTERFACES 文字列で作成されたテンプレートを使用しないNO-RENDER-TEMPLATE-STRING ファイルを開くための未サニタイズデータの使用OPEN-FILE-UNSANITIZED-DATA プロセスを作成するための未サニタイズデータの使用OS-SYSTEM-UNSANITIZED-DATA クッキーが安全でセキュアであることを確認するSECURE-COOKIE sql クエリを発行するための未サニタイズデータの使用SQLALCHEMY-INJECTION api 呼び出しのための未サニタイズデータの使用SSRF-REQUESTS api を開くための未サニタイズデータの使用URLOPEN-UNSANITIZED-DATA json 出力には、json.dumps の代わりに jsonify を使うUSE-JSONIFY

表現に問題がないか Python コードをチェックする

ルールセット ID: python-inclusive

Python のコードとコメントで不適切な表現を避けるためのルール。

表現に問題がないかコメントをチェックするコメント 表現に問題がないか関数名をチェックするFUNCTION-DEFINITION 表現に問題がないか変数名をチェックするVARIABLE-NAME

pandas を使ったデータサイエンスのグッドプラクティス

ルールセット ID: python-pandas

pandas コードが適切に使用されていることを確認するための一連のルール。

• import 宣言がコーディングガイドライン違反に従っていることを確認する。
• 非推奨のコードやメソッドを避ける。
• 可能な限り非効率なコードを避ける。

関数の代わりに算術演算子を使用するARITH-OPERATOR-NOT-FUNCTIONS inplace=true の使用は避けるAVOID-INPLACE 値の比較には、関数ではなく演算子を使用するCOMP-OPERATOR-NOT-FUNCTION コーディングガイドラインに従って pandas をインポートするIMPORT-AS-PD isnull の代わりに isna を使用するISNA-INSTEAD-OF-ISNULL ix より iloc か loc を優先するLOC-NOT-IX notna を notnull より優先するNOTNA-INSTEAD-OF-NOTNULL pivot または unstack の代わりに pivot_table を使用するPIVOT-TABLE read_csv を read_table より優先するUSE-READ-CSV-NOT-READ-TABLE

Python コードが安全でセキュアなことを確認する

ルールセット ID: python-security

OWASP10 および SANS25 に記載されているものを含め、Python コード内のセキュリティや脆弱性の問題を発見することに焦点を当てたルール。

• 粗悪な暗号化およびハッシュ化プロトコルの使用
• アクセス制御の欠如
• セキュリティの誤構成
• SQL インジェクション
• 資格情報のハードコーディング
• シェルインジェクション
• 安全でない逆シリアル化

シェルコマンドの安全でない実行ASYNCIO-SUBPROCESS-CREATE-SHELL シェルコマンドの安全でない実行ASYNCIO-SUBPROCESS-EXEC secrets パッケージを random パッケージよりも優先的に使用するAVOID-RANDOM 値をハードコーディングせずに環境変数を使用するAWS-BOTO-CREDENTIALS データのシリアル化または逆シリアル化で安全でない関数を避けるDESERIALIZE-UNTRUSTED-DATA すべてのユーザーに書き込み権限を与えないFILE-WRITE-OTHERS 一時ファイルやディレクトリをハードコーディングしないHARDCODED-TMP-FILE html が組み込まれた文字列を避けるHTML-STRING-FROM-PARAMETERS 安全でない関数を使用しないINSECURE-HASH-FUNCTIONS jwt の署名が検証済みであることを確認するINSECURE-JWT 安全でない暗号化プロトコルを使用しないINSECURE-SSL-PROTOCOLS 自動エスケープを true に設定するJINJA-AUTOESCAPE 一時ファイルが安全であることを確認するMKTEMP デフォルトのパラメーターとして空の配列を使用しないNO-EMPTY-ARRAY-AS-PARAMETER eval の使用は安全でない可能性があるNO-EVAL サニタイジングなしでの spawn プロセスの呼び出しOS-SPAWN サニタイジングなしでのコマンドの実行OS-SYSTEM verify を true にするREQUEST-VERIFY 暗号化なしで http 呼び出しを行わないREQUESTS-HTTP 外部リソースの呼び出しでタイムアウトが設定されていないREQUESTS-TIMEOUT 安全でない yaml の逆シリアル化を使用しないRUAMEL-UNSAFE-YAML ハードコーディングされた資格情報を渡さないSQL-SERVER-SECURITY-CREDENTIALS 証明書の検証をバイパスしないSSL-UNVERIFIED-CONTEXT シェルの引数により不必要な権限が与えられるSUBPROCESS-SHELL-TRUE sql インジェクションを避けるVARIABLE-SQL-STATEMENT-INJECTION 信頼できない yaml の逆シリアル化を避けるYAML-LOAD

その他の参考資料

お役に立つドキュメント、リンクや記事:

Datadog Static Analysis についてDOCUMENTATION