Code RadarLOCAL SAST GATE
AccountGitHubInstalla Radar

Rileva cross-site scripting (XSS) prima del merge.

Scopri come cross-site scripting (XSS) entra in una revisione local-first, quali evidenze produce Code Radar, dove finisce la copertura e come portare finding affidabili in CI.

Controlla questo rischio in localeRivedi le prove di rilevamento
radar scan . --quick

Cosa significa cross-site scripting (XSS) qui.

La regola cross-site scripting (XSS) individua pattern che possono creare rischio sfruttabile o nascondere debito rilevante e restituisce posizione, severità, confidenza e rimedi.

Riferimento regola

Prova da ispezionare

Verifica ambito, dettaglio dei finding, passaggio del workflow e confini del prodotto prima di installare o acquistare.

CriterioProva da ispezionareConfine
Ambito di inputFile selezionati, configurazione, modalità e regole attive.Sono valutati solo percorsi e controlli inclusi.
Dettaglio findingFile, riga, ID regola, gravità, spiegazione e riparazione.L'output illustrativo non è un risultato del tuo repository.
Passaggio del workflowRisultato locale, report, contesto agente e segnale CI opzionale.Abilita export o CI solo quando servono al workflow.
Fit decisionaleApplica gli stessi criteri a un repository reale prima di scegliere.Non viene dichiarato un vincitore universale né un risultato garantito.
Riferimento regola

Controlla questo rischio in locale

Verifica ambito, dettaglio dei finding, passaggio del workflow e confini del prodotto prima di installare o acquistare.

Controlla questo rischio in locale

Il problema che questa pagina aiuta a chiarire

La domanda utile è dove cross-site scripting (XSS) cambia il ciclo di review: cosa entra nella scansione, chi agisce su un finding e quali evidenze avanzano. Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.

  • Pubblico: sviluppatori che devono capire questo rischio prima del merge: cross-site scripting (XSS).
  • Focus: Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.
  • Domanda di valutazione: Cosa copre cross-site scripting (XSS) nella pratica?

Copertura e segnali concreti

Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. File esatto, contesto regola, severità, confidenza e indicazioni di rimedio. RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente. Output terminale e artefatti SARIF, JSON o HTML generati dallo stesso insieme di finding.

  • Focus: Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.
  • Flusso: ID regola: RADAR-SEC-XSS
  • Copertura e segnali concreti: RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente
FocusFile esatto, contesto regola, severità, confidenza e indicazioni di rimedio.Confine
Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.File esatto, contesto regola, severità, confidenza e indicazioni di rimedio. RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente. Output terminale e artefatti SARIF, JSON o HTML generati dallo stesso insieme di finding.Il rilevamento statico è evidenza, non prova di sfruttabilità. Controlla flusso dati e contesto, documenta i falsi positivi e testa il comportamento corretto.

Pattern rischioso / Pattern più sicuro

cross-site scripting (XSS): Un risultato utile deve essere spiegabile a uno sviluppatore e trasferibile al passaggio successivo. Controlla queste evidenze prima di cambiare la policy del team.

Pattern rischiosoPattern più sicuro
element.innerHTML = userInput;element.textContent = userInput;

Dal segnale locale al gate condiviso.

cross-site scripting (XSS): Usa il flusso minimo che dimostra valore. Ogni passaggio successivo deve riutilizzare evidenze che il team già comprende. Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.

PassoComando o azioneDecisione
1Eseguire una scansione locale rapidaIl segnale è utile?
2Controllare e correggere i findingLa correzione è specifica e riproducibile?
3Esportare evidenze portabiliIl reviewer richiede SARIF, JSON o HTML?
4Portare la soglia affidabile in CIQuale severità deve bloccare una pull request?
radar scan . --quick
radar scan . --format sarif --fail-on high

Evidenze da controllare prima di fidarsi del risultato.

cross-site scripting (XSS): Un risultato utile deve essere spiegabile a uno sviluppatore e trasferibile al passaggio successivo. Controlla queste evidenze prima di cambiare la policy del team. File esatto, contesto regola, severità, confidenza e indicazioni di rimedio. RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente. Output terminale e artefatti SARIF, JSON o HTML generati dallo stesso insieme di finding.

  • ID regola: RADAR-SEC-XSS
  • File esatto, contesto regola, severità, confidenza e indicazioni di rimedio.
  • Output terminale e artefatti SARIF, JSON o HTML generati dallo stesso insieme di finding.
  • Il sorgente resta nel workspace o runner CI dove viene eseguita la scansione.

Adatto quando e limiti

Usa cross-site scripting (XSS) quando sviluppatori che devono capire questo rischio prima del merge: cross-site scripting (XSS). Mantieni esplicito il limite: Il rilevamento statico è evidenza, non prova di sfruttabilità. Controlla flusso dati e contesto, documenta i falsi positivi e testa il comportamento corretto.

Esegui la prova locale prima di adottare un gate condiviso.

  • Buon fit: sviluppatori che devono capire questo rischio prima del merge: cross-site scripting (XSS).
  • Non adatto / non sovrastimare: Il rilevamento statico è evidenza, non prova di sfruttabilità. Controlla flusso dati e contesto, documenta i falsi positivi e testa il comportamento corretto.

Domande da verificare prima del rollout

Queste domande tengono la decisione legata a evidenze osservabili, non a una promessa generica.

Cosa copre cross-site scripting (XSS) nella pratica?

cross-site scripting (XSS): L'ambito pratico è Per cross-site scripting (XSS), controlla l'ambito concreto sotto invece di affidarti a una sola categoria. Focus: sicurezza del codice sorgente; RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente.. Parti dalle entità o dai file indicati e verifica il risultato su codice rappresentativo.

Quali evidenze devo verificare per cross-site scripting (XSS)?

cross-site scripting (XSS): Controlla File esatto, contesto regola, severità, confidenza e indicazioni di rimedio. RADAR-SEC-XSS, unsafe pattern, safer pattern, sicurezza del codice sorgente. Output terminale e artefatti SARIF, JSON o HTML generati dallo stesso insieme di finding. mantenendo insieme posizione, contesto della regola o del confronto e artefatto esportato.

Cosa non devo dedurre da cross-site scripting (XSS)?

cross-site scripting (XSS): Non dedurre una copertura universale. Il rilevamento statico è evidenza, non prova di sfruttabilità. Controlla flusso dati e contesto, documenta i falsi positivi e testa il comportamento corretto. Verifica il confine nella pagina di confronto o workflow prima di cambiare policy.

Cosa dovrei provare per primo per cross-site scripting (XSS)?

cross-site scripting (XSS): Inizia con un'esecuzione locale, controlla un finding reale e poi scegli il workflow di report, agente, CI o fiducia più adatto.

Funzionalità: security scannerScegli la pagina che completa il prossimo passo di implementazione o valutazione.Funzionalità: sastScegli la pagina che completa il prossimo passo di implementazione o valutazione.Docs: rulesScegli la pagina che completa il prossimo passo di implementazione o valutazione.
Riferimento regola

Parti dal problema che devi risolvere.

Apri pagina →
Local SASTSAST locale per sviluppatori e CI

Code Radar produce evidenza portabile in terminale, SARIF, JSON e HTML, così persone, CI, automazione e agenti lavorano sullo stesso set di findings.

ProvaVedi report di esempio

Ispeziona the fields and formati in a sample finding

InstallaInstalla Radar

Esegui a scansione locale on a repository reale

Valida il workflow sul tuo codice.

Inizia con una scansione locale, ispeziona le prove ed estendi a report, agenti o CI solo quando il segnale è utile.

Controlla questo rischio in localeRivedi le prove di rilevamento