分析配置的疑问

[for-just-we]

想问下实践中分析node.js程序时通常是否会下载所有的依赖包一起分析，还是只分析app部分。

[AntJiuFo]

只分析app部分

[for-just-we]

只分析app部分

ok，方便问下如果把第三方库下下来分析会不会时间开销暴增以及实际精度提升效果非常有限。

[AntJiuFo]

按我的经验来说是的，因为三方库的代码非常多而且里面的代码往往会涉及较多的语法糖，断链的可能性比正常业务代码更高，分析的性能开销也会变大很多。我们更倾向于对库函数/三方包进行建模（行为建模、污点标签传播建模等）来解决这个问题，而不是直接让yasa去带着三方包源码一起来分析。现在java/python等语言（nodejs还没有开启）开启了默认的较为激进的三方库污点标签传播（函数入参污点传播到函数返回值、接收器），但是标签的激进传播一定会有误报以及带来额外的性能开销（部分分析对含有污点标签的更为详细）。因此今年计划通过AI对现在yasa支持的语言的常见库函数/三方包进行批量的精确建模，解决二三方包的折中适配问题

[for-just-we]

按我的经验来说是的，因为三方库的代码非常多而且里面的代码往往会涉及较多的语法糖，断链的可能性比正常业务代码更高，分析的性能开销也会变大很多。我们更倾向于对库函数/三方包进行建模（行为建模、污点标签传播建模等）来解决这个问题，而不是直接让yasa去带着三方包源码一起来分析。现在java/python等语言（nodejs还没有开启）开启了默认的较为激进的三方库污点标签传播（函数入参污点传播到函数返回值、接收器），但是标签的激进传播一定会有误报以及带来额外的性能开销（部分分析对含有污点标签的更为详细）。因此今年计划通过AI对现在yasa支持的语言的常见库函数/三方包进行批量的精确建模，解决二三方包的折中适配问题

ok，非常感谢。这个批量精确建模是指批量生成specification吗？这个操作的复用性确实挺强

[AntJiuFo]

也不是specification，主要是让yasa可以使用的建模，比如builtin或者类似resource/tag-propagation 中的配置，主要模拟数据传播的行为