javascript - 当只有空格不同时，Checkmarx 分析会有所不同

Question

你好!我担心 checkmarx 扫描的可靠性。

我创建了一个只有两个文件的 checkmarx 项目:

• library.minified.js
• library.formatted.js

我用过beautifier.io从 library.minified.js 生成 library.formatted.js。没有其他变化；这两个文件完全相同，只是空格格式发生了变化。

关于这两个相似文件，checkmarx 感知到不同的安全威胁。特别是，它在缩小版本中感知到几个高风险项目，而在格式化版本中没有高风险项目。

如果两个 javascript 文件除了格式不同外，为什么 checkmarx 会感知到不同的安全威胁？

如果 JS 解释器会忽略的空格影响评估，我如何相信 checkmarx 的判断？

Answer 1

我们知道，在某些情况下，空格更改确实会影响结果，并且我们会不断审查改进分析的方法。

为了解决这些问题，获得您的意见将非常有帮助，因此，如果您可以的话，请通过这些示例向 Checkmarx 支持部门提交申请，我们将尽力提供帮助。