Osm Tagging Schema MCP

🚀 OSS-Fuzz統合

このディレクトリには、オープンソースプロジェクト向けのGoogleの継続的ファジングサービスであるOSS-Fuzzとの将来的な統合のための設定ファイルが含まれています。

🚀 クイックスタート

現在の状況

• アクティブなファジング: ✅ fast-checkを使用したプロパティベースのテスト (GitHub Actions)
• OSS-Fuzzへの提出: 🔄 準備済みだが未提出

現在のファジングアプローチ

このプロジェクトでは現在、fast-checkライブラリを使用したプロパティベースのテストを採用しており、これはOpenSSF Scorecardによって認識されているファジングアプローチです。

ファジングターゲット

重要なコンポーネントに対して包括的なファジングテストを行っています。

1. タグパーサー (tests/fuzz/tag-parser.fuzz.test.ts)

   • ランダムな文字列入力のテスト
   • JSONパースのエッジケースのテスト
   • key=value形式のパースのテスト
   • ユニコードと特殊文字のテスト
   • 非常に長い入力のテスト

2. タグ検証 (tests/fuzz/validate-tag.fuzz.test.ts)

   • ランダムなキーバリューペアのテスト
   • OSMのようなタグパターンのテスト
   • 空入力と空白入力のテスト
   • 非推奨のタグの処理のテスト
   • 一般的なOSMタグパターンのテスト

3. スキーマローダー (tests/fuzz/schema-loader.fuzz.test.ts)

   • 翻訳メソッドのルックアップのテスト
   • プリセット名の解決のテスト
   • フィールドラベルの解決のテスト
   • ユニコードと特殊文字のテスト

ファジングテストの実行

# すべてのファジングテストをローカルで実行
npm run test:fuzz

# カバレッジ付きで実行
npm run test:coverage:fuzz

# ファジングテストはCIでも自動的に実行されます:
# - すべてのPRで (5分間の高速ファジング)
# - masterへのすべてのプッシュで (30分間の拡張ファジング)
# - 毎週 (UTC月曜日午前2時)

✨ 主な機能

OSS-Fuzzへの提出 (将来的な予定)

このプロジェクトを将来的にOSS-Fuzzに提出するには、以下の手順が必要です。

前提条件

1. プロジェクト要件:

   • ✅ 許容的なライセンス (GPL-3.0) のオープンソース
   • ✅ かなりのユーザーベースまたはセキュリティ上の関連性
   • ✅ アクティブにメンテナンスされている
   • ✅ ファジングターゲットが実装されている

2. メンテナ要件:

   • セキュリティ連絡用のメールアドレス
   • ファジングで見つかったバグを修正するコミットメント
   • ファジングの結果をレビューしてトリアージすること

提出プロセス

1. 設定の準備:

   • project.yaml を実際の連絡先メールアドレスで更新する
   • OSS-Fuzzのツールを使用してローカルでビルドをテストする
   • ファジングターゲットがコンパイルされて実行されることを確認する

2. OSS-FuzzのPRを作成する:

# https://github.com/google/oss-fuzz をフォークする
# projects/osm-tagging-schema-mcp/ ディレクトリを作成する
# .ossfuzz/* ファイルをそのディレクトリにコピーする
# google/oss-fuzz にPRを提出する

3. 統合手順:
   • OSS-FuzzチームがPRをレビューする
   • セットアップを検証するための初期ファジング実行
   • 承認後に継続的なファジングが開始される

OSS-Fuzzのメリット

• 継続的なファジング: Googleのインフラストラクチャで24時間体制のファジング
• ClusterFuzz統合: 高度なコーパス管理
• バグレポート: 90日間の公開期間を持つ非公開バグレポート
• カバレッジ追跡: 詳細なコードカバレッジレポート
• サニタイザー: アドレス、未定義、メモリサニタイザー

設定ファイル

• project.yaml: OSS-Fuzzプロジェクトの設定
• Dockerfile: ファジングターゲットをビルドするためのDockerイメージ
• build.sh: ファジングターゲットをコンパイルするためのビルドスクリプト
• README.md: このドキュメント

リソース

• OSS-Fuzzのドキュメント
• 新しいプロジェクトガイド
• fast-checkのドキュメント
• プロパティベースのテストガイド

Scorecardへの影響

現在のfast-checkを使用したプロパティベースのテストの実装は、OpenSSF Scorecardによってファジングインフラとして認識されています。これにより、プロジェクトのファジングスコアが0から高い値に向上するはずです。

Scorecardがチェックする項目:

• ✅ fast-checkライブラリの使用 (JavaScript/TypeScriptのプロパティベースのテスト)
• ✅ リポジトリ内のファジングテストファイル
• ✅ 定期的なファジングのためのCI/CD統合

お問い合わせ

ファジングやセキュリティに関する質問は、以下の方法でお問い合わせください。

• GitHubのIssue: https://github.com/gander-tools/osm-tagging-schema-mcp/issues
• セキュリティ: 責任ある開示のプロセスについてはSECURITY.mdを参照してください