PII泄露--用CodeQL识别日志中的PII数据
内容提要
本文介绍使用CodeQL检测开源电商系统shopizer日志中的PII（个人敏感信息）泄露。通过定义敏感字段（如email、phone、creditCard）为数据源，以slf4j日志输出为汇聚点，构建污点追踪查询，并展示路径显示及通过重写isSanitizer排除无害化处理（如mask方法）以减少误报，最终总结出确定源、汇、追踪及优化的检测流程。
延伸解读
检测思路：从源到汇的污点追踪
本文的核心方法是将敏感字段（如email、phone、creditCard）定义为数据源，将日志输出（slf4j的格式化方法）定义为汇聚点，通过CodeQL的污点追踪配置来检测数据流。这种思路不仅适用于日志泄露，也可推广到其他敏感数据外传场景，如网络请求、文件写入等。理解源、汇和污点追踪的配置逻辑，是使用CodeQL进行安全审计的基础。
减少误报：无害处理与路径优化
在检测过程中，作者发现creditCard字段经过mask%方法处理后，实际泄露风险降低。通过重写isSanitizer谓词，将这类无害化处理排除在污点路径之外，有效减少了误报。这提示我们在实际应用中，需要结合业务逻辑识别数据清洗或脱敏操作，避免将所有数据流都视为泄露，提高检测结果的准确性。
CodeQL查询的调试与展示
文章展示了从简单查询到完整路径展示的演进过程，包括使用@kind path-problem和PathGraph来可视化污点传播路径。这种逐步完善查询的方法，有助于开发者理解CodeQL的调试技巧。同时，通过路径展示可以直观地看到数据如何从源头流向日志输出，便于人工确认和修复。
Q&A
如何使用CodeQL检测日志中的PII泄露？
使用CodeQL检测日志中的PII泄露，需要定义敏感字段（如email、phone、creditCard）作为数据源，以日志输出（如slf4j的LoggerFormatMethod）作为汇聚点，然后构建污点追踪查询，并通过重写isSanitizer排除无害化处理（如mask方法）来减少误报。
在CodeQL中如何定义PII敏感字段作为数据源？
在CodeQL中，可以通过继承Field类并重写构造函数，使用正则匹配字段名来定义敏感字段。例如，匹配包含'email'、'phone'或以'creditCard'开头的字段，并确保字段来自源代码（fromSource）。
CodeQL中如何识别slf4j日志输出作为汇聚点？
CodeQL提供了StringFormat库，其中LoggerFormatMethod类表示使用slf4j格式字符串的日志方法。通过查询LoggerFormatMethod的引用及其参数，可以定位日志输出调用。
如何显示CodeQL污点追踪的完整路径？
要显示完整路径，需要将查询的@kind改为path-problem，并导入DataFlow::PathGraph。然后在select子句中使用source和sink的PathNode，并调用hasFlowPath方法。
如何减少CodeQL检测PII泄露的误报？
可以通过重写TaintTracking::Configuration中的isSanitizer谓词来排除无害化处理。例如，排除方法名匹配'mask%'的调用，因为这些方法会对PII进行脱敏处理。
CodeQL检测PII泄露的完整流程是什么？
完整流程包括：确定数据源（敏感字段）、确定汇聚点（日志输出）、编写污点追踪查询、显示路径、以及通过无害处理（如isSanitizer）优化结果。
