osv-scanner-mcp 0.3.3 → 0.4.0

package/dist/utils/projectWalk.js

@@ -0,0 +1,77 @@
+/**
+ * スキャン対象パスの検証と、上限付きのディレクトリ走査(Java用・汎用の検出で共有)。
+ *
+ * 検出したファイルがそのままOSV-Scannerのスキャン範囲になるため、走査は深さで打ち切らず
+ * (Javaのソースツリーは深い)、上限に達した場合は結果を黙って欠落させずにエラーにする。
+ */
+import { readdir, realpath } from "node:fs/promises";
+import path from "node:path";
+import { ScanToolError } from "../errors.js";
+const DEFAULT_MAX_DEPTH = 64;
+const DEFAULT_MAX_ENTRIES = 200_000;
+const DEFAULT_MAX_MANIFESTS = 1_000;
+export async function resolveExistingPath(inputPath) {
+    try {
+        return await realpath(path.resolve(inputPath));
+    }
+    catch {
+        throw new ScanToolError("project_not_found", `指定されたパスが存在しません: ${inputPath}`);
+    }
+}
+/** targetがbaseDir自身またはその配下か(どちらも解決済みの絶対パス) */
+export function isInsideDir(baseDir, target) {
+    const relative = path.relative(baseDir, target);
+    return relative !== ".." && !relative.startsWith(`..${path.sep}`) && !path.isAbsolute(relative);
+}
+export function assertInsideAllowedRoot(resolvedDir, allowedRootReal) {
+    if (!isInsideDir(allowedRootReal, resolvedDir)) {
+        throw new ScanToolError("path_outside_allowed_root", `指定されたパスは許可されたディレクトリ(${allowedRootReal})の外にあります`);
+    }
+}
+function searchLimitError(reason) {
+    return new ScanToolError("manifest_search_limit_exceeded", `マニフェスト探索が上限(${reason})に達したため、スキャンを中止しました。` +
+        "結果の欠落を避けるため途中までの結果は返しません。より狭いディレクトリ、またはマニフェストを直接指定してください");
+}
+/**
+ * 上限付きで幅優先に走査し、ファイルごとにonFileを呼ぶ。シンボリックリンクは辿らない。
+ * onFileがtrueを返したファイルをマニフェストとして数え、上限到達はエラーにする。
+ */
+export async function walkProjectFiles(rootDir, options, skippedDirs, onFile) {
+    const limits = {
+        maxDepth: options.maxDepth ?? DEFAULT_MAX_DEPTH,
+        maxEntries: options.maxEntries ?? DEFAULT_MAX_ENTRIES,
+        maxManifests: options.maxManifests ?? DEFAULT_MAX_MANIFESTS,
+    };
+    let visited = 0;
+    let manifests = 0;
+    let currentLevel = [rootDir];
+    for (let depth = 1; currentLevel.length > 0; depth++) {
+        if (depth > limits.maxDepth)
+            throw searchLimitError(`深さ${limits.maxDepth}`);
+        const nextLevel = [];
+        for (const dir of currentLevel) {
+            let entries;
+            try {
+                entries = await readdir(dir, { withFileTypes: true });
+            }
+            catch {
+                continue; // 読めないディレクトリはスキップ(権限不足等)
+            }
+            for (const entry of entries) {
+                if (++visited > limits.maxEntries)
+                    throw searchLimitError(`${limits.maxEntries}エントリ`);
+                if (entry.isFile()) {
+                    if (onFile(path.relative(rootDir, path.join(dir, entry.name)), entry.name)) {
+                        if (++manifests > limits.maxManifests)
+                            throw searchLimitError(`マニフェスト${limits.maxManifests}件`);
+                    }
+                }
+                else if (entry.isDirectory() && !skippedDirs.has(entry.name)) {
+                    // isDirectory()はシンボリックリンクに対してfalseを返すため、リンクは自然に除外される
+                    nextLevel.push(path.join(dir, entry.name));
+                }
+            }
+        }
+        currentLevel = nextLevel;
+    }
+}

package/dist/utils/requirementsFile.js

@@ -0,0 +1,194 @@
+/**
+ * requirements.txtの解析と、osv-scannerに渡す検証済みコピーの内容の生成(pipは使わない)。
+ *
+ * 元のファイルはosv-scannerに渡さない。osv-scannerは取り込み指定を独自に正規化してたどる
+ * (`- r ../x.txt` のような空白入りも取り込みとして扱い、スキャン対象の外のファイルを読む)ため、
+ * 事前解析との解釈のずれがそのまま境界の迂回になる。そこで、ここで解釈できた依存の行だけを
+ * `名前==版` 等の単純な形に正規化して返し、呼び出し側がそれを専用コピーに書いてスキャンする。
+ * コピーには取り込み・オプションを一切含めないため、osv-scannerがたどれる参照は存在しない。
+ *
+ * osv-scanner v2.4.0の実機確認(2026-10-07):
+ * - `==` / `===` はその版をスキャンする。`>=X` / `~=X` は下限Xを使用中の版とみなす
+ * - `>` `<` `!=` `==1.*` 範囲の組み合わせ・版なしは空の版になり、結果から消える
+ * - `-r` はたどるが、`--requirement` / `-c` はたどらない
+ *
+ * 取り込み(`-r` / `--requirement`)は、プロジェクトディレクトリ内の取り込み先だけをここで展開する。
+ * 外・存在しない・URL・上限超過の取り込み、制約ファイル(`-c`)、解釈できない行は、
+ * スキャンされない参照として報告する(黙って無視しない)。
+ */
+import { readFile, realpath, stat } from "node:fs/promises";
+import path from "node:path";
+import { isInsideDir } from "./projectWalk.js";
+const MAX_FILE_BYTES = 1024 * 1024;
+const MAX_INCLUDE_DEPTH = 5;
+const MAX_FILES = 50;
+/** PEP 503の名前正規化(小文字化し、`-_.`の連続を`-`にする) */
+export function normalizePypiName(name) {
+    return name.toLowerCase().replace(/[-_.]+/g, "-");
+}
+// osv-scannerは`-`の後の空白も許して取り込みとみなすため、こちらも空白を許して認識する
+const INCLUDE_REQUIREMENT = /^(?:-\s*r|--\s*requirement)(?:\s*=\s*|\s*)(\S.*)$/;
+const INCLUDE_CONSTRAINT = /^(?:-\s*c|--\s*constraint)(?:\s*=\s*|\s*)(\S.*)$/;
+const EDITABLE = /^(?:-\s*e|--\s*editable)(?:\s|=|$)/;
+/** 依存の解決先や取得方法に関するオプション。スキャン対象には影響しない(deps.devモードでは接続しない) */
+const HARMLESS_OPTION = /^(?:-i|--index-url|--extra-index-url|-f|--find-links|--trusted-host|--pre|--no-binary|--only-binary|--prefer-binary|--require-hashes|--no-index|--use-feature)(?:\s|=|$)/;
+const URL_SCHEME = /^[a-z][a-z0-9+.-]*:\/\//i;
+const NAME_AND_SPEC = /^([A-Za-z0-9](?:[A-Za-z0-9._-]*[A-Za-z0-9])?)\s*(?:\[[^\]]*\])?\s*(.*)$/;
+const SPEC = /^(===|==|~=|!=|>=|<=|>|<)\s*([^\s,]+)$/;
+/** コピーに書く版。想定外の文字を含む版は書かない(解釈のずれを持ち込まない) */
+const SAFE_VERSION = /^[A-Za-z0-9][A-Za-z0-9._+!-]*$/;
+/** 行継続を結合し、コメントを除いた論理行を返す(行番号は論理行の先頭) */
+function logicalLines(text) {
+    const result = [];
+    const physical = text.split(/\r?\n/);
+    let buffer = "";
+    let start = 0;
+    for (let i = 0; i < physical.length; i++) {
+        const raw = physical[i];
+        if (buffer === "")
+            start = i + 1;
+        if (raw.endsWith("\\")) {
+            buffer += raw.slice(0, -1) + " ";
+            continue;
+        }
+        buffer += raw;
+        flush();
+    }
+    flush(); // 行継続で終わるファイル
+    return result;
+    function flush() {
+        // 行頭または空白の後の#以降はコメント(URL内の#egg=等は残る)
+        const content = buffer.replace(/(^|\s)#.*$/, "").trim();
+        if (content !== "")
+            result.push({ line: start, content });
+        buffer = "";
+    }
+}
+function classifyRequirement(file, line, content, out) {
+    const reference = (reason) => {
+        out.references.push({ file, line, text: content, reason });
+    };
+    // 環境マーカーと行末のオプション(--hash等)を除く
+    const withoutMarker = content.split(";")[0];
+    const requirement = withoutMarker.replace(/\s--?[A-Za-z].*$/, "").trim();
+    if (/\s@\s/.test(requirement) || URL_SCHEME.test(requirement) || /^[./~]/.test(requirement) || requirement.includes("/")) {
+        reference("URL・パス指定の依存はスキャンされません");
+        return;
+    }
+    const match = NAME_AND_SPEC.exec(requirement);
+    if (!match) {
+        reference("解釈できない行です");
+        return;
+    }
+    const name = match[1];
+    const specifier = match[2].replace(/[()]/g, "").trim();
+    const specs = specifier === "" ? [] : specifier.split(",").map((s) => s.trim()).filter((s) => s !== "");
+    if (specs.length === 0) {
+        out.issues.push({ file, line, name, specifier, kind: "unpinned" });
+        return;
+    }
+    const parsed = specs.length === 1 ? SPEC.exec(specs[0]) : null;
+    if (parsed) {
+        const op = parsed[1];
+        const version = parsed[2];
+        if ((op === "==" || op === "===") && !version.includes("*")) {
+            if (!SAFE_VERSION.test(version))
+                return reference("解釈できない版の指定です");
+            out.entries.push(`${name}==${version}`);
+            return;
+        }
+        if (op === ">=" || op === "~=") {
+            if (!SAFE_VERSION.test(version))
+                return reference("解釈できない版の指定です");
+            // osv-scannerは下限を使用中の版とみなしてスキャンする(実機確認)。その挙動を保ち、印を付けて報告する
+            out.entries.push(`${name}${op}${version}`);
+            out.issues.push({ file, line, name, specifier, kind: "lower_bound" });
+            out.lowerBounds.push({ name: normalizePypiName(name), version });
+            return;
+        }
+    }
+    out.issues.push({ file, line, name, specifier, kind: "range" });
+}
+async function include(file, line, content, target, projectDir, depth, out) {
+    const reference = (reason) => {
+        out.references.push({ file, line, text: content, reason });
+    };
+    const cleaned = target.trim().replace(/^["']|["']$/g, "");
+    if (URL_SCHEME.test(cleaned))
+        return reference("URLの取り込みは展開しません");
+    if (depth >= MAX_INCLUDE_DEPTH)
+        return reference(`取り込みの深さが上限(${MAX_INCLUDE_DEPTH})を超えています`);
+    let resolved;
+    try {
+        resolved = await realpath(path.resolve(path.dirname(file), cleaned));
+    }
+    catch {
+        return reference("取り込み先が存在しません");
+    }
+    if (!isInsideDir(projectDir, resolved))
+        return reference("取り込み先がプロジェクトディレクトリの外のため展開しません");
+    if (out.visited.has(resolved))
+        return; // 循環
+    if (out.visited.size >= MAX_FILES)
+        return reference(`取り込みファイルが上限(${MAX_FILES}件)を超えています`);
+    let failure;
+    try {
+        failure = await analyze(resolved, projectDir, depth + 1, out);
+    }
+    catch {
+        failure = "取り込み先を読み込めません";
+    }
+    if (failure !== null)
+        reference(failure);
+}
+/** ファイルを解析してoutに追加する。読めない・大きすぎる場合は理由を返す */
+async function analyze(file, projectDir, depth, out) {
+    out.visited.add(file);
+    const info = await stat(file);
+    if (!info.isFile())
+        return "通常ファイルではありません";
+    if (info.size > MAX_FILE_BYTES)
+        return `サイズが上限(${MAX_FILE_BYTES}バイト)を超えています`;
+    const text = await readFile(file, "utf8");
+    for (const { line, content } of logicalLines(text)) {
+        const requirementInclude = INCLUDE_REQUIREMENT.exec(content);
+        if (requirementInclude) {
+            await include(file, line, content, requirementInclude[1], projectDir, depth, out);
+            continue;
+        }
+        if (INCLUDE_CONSTRAINT.test(content)) {
+            out.references.push({ file, line, text: content, reason: "制約ファイルは適用していません" });
+            continue;
+        }
+        if (EDITABLE.test(content)) {
+            out.references.push({ file, line, text: content, reason: "編集可能インストール(-e)はスキャンされません" });
+            continue;
+        }
+        if (content.startsWith("-")) {
+            if (!HARMLESS_OPTION.test(content)) {
+                out.references.push({ file, line, text: content, reason: "解釈できないオプションです" });
+            }
+            continue;
+        }
+        classifyRequirement(file, line, content, out);
+    }
+    return null;
+}
+/**
+ * requirements.txtを解析する。元ファイル自体が読めない・大きすぎる場合だけ`ok: false`。
+ * @param file 検出済みの絶対パス
+ * @param projectDir 取り込みを展開する範囲(解決済みの絶対パス)
+ */
+export async function analyzeRequirementsFile(file, projectDir) {
+    const out = { entries: [], issues: [], references: [], lowerBounds: [], visited: new Set() };
+    let reason;
+    try {
+        reason = await analyze(await realpath(file), projectDir, 0, out);
+    }
+    catch {
+        reason = "読み込めません";
+    }
+    if (reason !== null)
+        return { ok: false, reason };
+    return { ok: true, entries: out.entries, issues: out.issues, references: out.references, lowerBounds: out.lowerBounds };
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "osv-scanner-mcp",
-  "version": "0.3.3",
+  "version": "0.4.0",
   "description": "MCP server that wraps Google's OSV-Scanner to scan Java projects for known vulnerabilities",
   "type": "module",
   "license": "Apache-2.0",