Mozilla развивает ScanJS, статический анализатор кода для JavaScript

В рамках проекта ScanJS [4] разработчики из сообщества Mozilla развивают инструментарий статического анализа кода для языка JavaScript. Разработка позволяет упростить рецензирование безопасности кода и даёт возможность на стороне сервера выявлять потенциальные уязвимости в web-приложениях, предназначенных для выполнения в браузере на стороне клиента. Код ScanJS написан на языке JavaScript, запускается под управлением node.js и распространяется под свободной лицензией MPL.
Поддерживается как использование в форме утилиты командной строки, так и развёртывание специализированного web-сервиса. Для преобразования исследуемого JavaScript-кода в AST-представление (Абстрактное синтаксическое дерево [5]) применяется парсер Acorn [6]. Правила, описывающие возможные аномалии в коде, оформляются [7] в формате JSON. Для оценки работы ScanJS запущен [8] демонстрационный сервис проверки.
Кроме того, разработчики Mozilla представили [9] инициативу Winter Of Security 2014 [10], в рамках которой, по аналогии с Google Summer of Code, студентам предлагается принять участие в разработке 11 применяемых в Mozilla инструментов автоматизации проверки безопасности. Кроме ScanJS, в программу вовлечены такие инструменты, как ZAP, Plug’n’Hack, Minion, Zest [11], MIG [12] (Mozilla InvestiGator), Mozdef [13] и Cipherscan [14]. Заявки от студентов будут приниматься [15] до 15 июля. В середине августа будут объявлены выбранные участники проекта, на выполнение задания которым отводится 8 месяцев, с сентября по апрель.