Repository navigation
Releases: xingguangqwq/traceguard-vscode
Release list
TraceGuard v1.1.0
TraceGuard 1.1.0
本版改进变更后的复核流程、断链建模和分析一致性。
- 代码、已解析的依赖或分析配置变化后，旧人工结论保留，相关目标和发现重新进入待复核状态；支持 Changed since review 筛选。
- 可从 Trace 断链处检查调用目标，补充项目 Source、Sink 或参数到返回值的 Propagator 模型，并重新运行查询。低可信模型仍保留不确定性。
- 项目模型变化按工作区根目录更新，保留其他根目录的前端分析。
- 修复 PHP/Python 常量覆盖与前向别名追踪造成的错误路径；空路径不再视为已验证证据。
- 改进 Worker 恢复、外部文件变化同步及笔记保留和证据重定位。
- 扩充 Java/PHP/Python 回归语料至 66 个场景，并保留不同证据等级的限制说明。
安装与升级
下载 traceguard-vscode-1.1.0.vsix，在 VS Code 扩展菜单选择 Install from VSIX。建议先导出已有审计会话。旧会话没有变更指纹时会提示重新确认；同文件其他改动或工作区路径变化也可能触发复核。
验证与限制
本地 257 项 Node 测试、69 个运行时 JavaScript 文件语法检查、安装包运行时验证和性能门槛通过。66 个回归场景中，33 个预期发现全部检出，误报为 0；这是固定回归样本的结果，不代表真实项目总体准确率。
本机 Extension Host 启动受环境问题影响，未完成真实界面冒烟验证；GitHub 发布流程另行执行该检查。
SHA-256
traceguard-vscode-1.1.0.vsix—dafe8f0e0c70241d965b83e956e8a03f6739a493276d4ceab4c4acb5daf58274traceguard-assets-csharp-v1.1.0.json.gz—f7e6151c92f2fb35cf5c7fc122f978fa63e04740714e617444b954ec8b062daftraceguard-assets-go-v1.1.0.json.gz—d47ae7fe7410035f52d92f681c504fdabcdad339bbad24ac74f6250a1e121b0ctraceguard-assets-javascript-typescript-v1.1.0.json.gz—edd8875891f04b6226cd6e1b7e395bb16a438ada69d690d037b757fe7986601c
TraceGuard v1.0.0
TraceGuard 1.0
这一版重新整理了插件的审计流程。TraceGuard 不替审计员判断漏洞是否成立，主要负责把入口、调用关系、数据来源和危险操作串起来，减少来回翻代码的时间。
这次改了什么
- 侧栏调整为 Scope、Review Queue、Trace、Notes 四部分。先看项目入口和索引范围，再按优先级审代码，追踪过程和审计记录各自放在固定位置。
- Review Queue 以人工审计为主。入口可达且包含敏感操作的代码优先展示，普通目标放入 Backlog，自动分析覆盖率和人工审计进度分开计算。
- 结果分为 Verified Flow 和 Review Hypothesis。前者表示 Source 到 Sink 的连接证据比较完整，后者表示中间仍有动态调用、缺失依赖或类型不明确等问题；两者都需要人工确认。
- Trace 支持向前、向后追踪，以及查看 Caller、Callee、入口和可达 Sink。每一步都会标出依据，路径断开时也会说明断在哪里。
- 编辑器右键统一收进
TraceGuard >子菜单。常用操作保留在第一层，临时 Source、Sink、Sanitizer 和项目语义配置放到高级建模菜单中。 - Java、PHP、Python 继续作为主要审计语言，补充了常见后端框架的入口、跨文件调用和参数级数据流。JavaScript/TypeScript 保持现有能力，C#、Go 维持基础支持。
- 部分索引、跳过文件、路径截断和无法解析的调用会直接显示出来，不再用空结果暗示代码没有问题。
- 审计状态、Finding 处理结果和 Notes 可以跟随审计过程保存，方便中断后继续检查。
安装
下载 traceguard-vscode-1.0.0.vsix，然后在 VS Code 中选择：
Extensions → Install from VSIX...
TraceGuard 提供的是白盒审计线索和数据流证据，不代表漏洞已经确认，也不能代替人工审计。
TraceGuard v0.9.0
0.9.0 主要加强 Java、PHP、Python 后端代码审计的稳定性和项目级解析。
主要更新
- 修复 Worker 超时、崩溃恢复和全量索引期间的文件更新竞态。
- 隔离多根工作区的配置、调用图、Finding、SARIF 和审计状态。
- PHP 支持 Composer PSR-4、Laravel 跨文件路由和更准确的 receiver 解析。
- Python 加强 FastAPI、Django、数据库工厂和跨文件 Service 调用。
- Java 加强 package/import、接口实现、JDBC/MyBatis 和动态 SQL 路径。
- 无法证明的数据库 receiver 会降为 LOW/REVIEW，不再静默漏掉；未验证 Guard 不会压掉 Finding。
- 无关文件保存不再重建完整调用图，并增加三语言评测和性能基线。
安装
下载 traceguard-vscode-0.9.0.vsix，然后在 VS Code 中选择：
Extensions → Install from VSIX...
TraceGuard v0.8.0
这一版主要更新了分析内核和 Java 支持。
Spring 项目里的 Controller、DTO、Service、实现类和 Mapper 现在可以连起来分析，分支、循环、异常和字段传递也补得更完整。
这一版主要更新
- 重做公共控制流分析，补上分支汇合、循环、异常、提前返回和不可达代码处理。
- Backward、Forward 查询和 Finding 现在共用同一套数据流与 Access Path。
- Java 路由改为从 AST 提取，支持 Spring MVC、JAX-RS 和 Servlet。
- 加强 Java 接口、实现类、继承、重载和参数类型解析。
- 支持从 Controller、DTO 字段一路追踪到 Service、ServiceImpl、Mapper 和最终 Sink。
- 支持 JavaBean getter 字段路径，例如
body.getCommand()会保留为body.command。 - 区分 MyBatis 的
${...}动态拼接和#{...}参数绑定。 - 增加 ProcessBuilder、JdbcTemplate、EntityManager、RestTemplate 和 WebClient 等常见 Java API 的语义模型。
- 调整语言投入方向：Java、PHP、Python 为重点语言；JavaScript/TypeScript 以稳定和回归修复为主；C#、Go 保持可用。
现在可以分析这类路径：
Spring Controller → DTO → Service → ServiceImpl → Mapper → SQL / Command / HTTP Sink
安装
下载下方的 traceguard-vscode-0.8.0.vsix，然后在 VS Code 中选择：
Extensions → Install from VSIX...
TraceGuard v0.6.0
What's Changed
- Release TraceGuard v0.6.0 by @xingguangqwq in #1
New Contributors
- @xingguangqwq made their first contribution in #1
Full Changelog: v0.5.0...v0.6.0
Contributors
Assets 3
TraceGuard v0.5.0
Full Changelog: https://github.com/xingguangqwq/traceguard-vscode/commits/v0.5.0