ESLint Security Plugin

Description

Le plugin ESLint Security (eslint-plugin-security) détecte les patterns dangereux JavaScript/Node.js : utilisation de eval(), accès à des propriétés via variables non sanitisées (prototype pollution), appels à child_process.exec() avec interpolation, et regex susceptibles de ReDoS.

Mise en œuvre

Ajouter dans .eslintrc.json : "plugins": ["security"], "extends": ["plugin:security/recommended"]. Intégrer en pre-commit et en CI. Compléter avec eslint-plugin-no-unsanitized pour les contextes DOM/React.

Points clés

• Règle critique : security/detect-object-injection — accès obj[variable]
• Faible taux de faux positifs avec la configuration recommended
• Complémentaire à Semgrep pour une couverture SAST Node.js exhaustive