noir v1.3.1

التوثيق • التثبيت • الاستخدام • Github Action • المساهمة • سجل التغييرات

Noir هي أداة SAST تقرأ الشفرة المصدرية وتستخرج نقاط النهاية التي يكشفها التطبيق — المسارات، والطرق، والمعاملات، والترويسات، وملفات تعريف الارتباط، والملفات المصدرية التي تقف خلفها. تظهر واجهات API الخفية، والمسارات المهملة، والمعالجات غير الموثقة كجزء من نفس الجرد؛ فهي ليست وضعًا منفصلًا.

يغذّي هذا الجرد ثلاث فئات من المستخدمين:

• المراجعون البشريون. يحصل مهندسو الأمن ومدققو الشفرة على قائمة مركّزة من نقاط الدخول التي يمكن للمهاجم الوصول إليها — المسارات، والمعاملات، والملفات المصدرية، والوسوم — بدلًا من تصفح المستودع بأكمله.
• مدققو الذكاء الاصطناعي. تحصل وكلاء SAST المبنية على نماذج اللغة الكبيرة (LLM) على نفس القائمة المركّزة، بالإضافة إلى سياق المراجعة لكل نقطة نهاية (--include callee للدوال المستدعاة بمسافة قفزة واحدة، و--ai-context للحُرّاس والمصارف والمدققات والإشارات).
• أدوات DAST. تحصل ZAP وBurp Suite وCaido وGori على قائمة مسارات حقيقية لفحصها، بما في ذلك مسارات لم تكن لتصل إليها عبر الزحف.

ما الذي تفعله Noir

• استخراج نقاط النهاية. تحليل ساكن عبر 206 إطار عمل. يعيد نقاط النهاية، والمعاملات، والترويسات، وملفات تعريف الارتباط، والملفات المصدرية التي جاءت منها.
• الرجوع إلى LLM. سلّم أطر العمل غير المدعومة (أو التوجيه المخصص لمرة واحدة) إلى OpenAI / Ollama / وغيرها عندما لا تنطبق القواعد الساكنة.
• مخرجات للمرحلة التالية. JSON، YAML، OpenAPI، SARIF، cURL، Postman، HTML — أي صيغة تقرأها الأداة التالية في خط الأنابيب.
• تكامل DAST. مرّر المخرجات مباشرة إلى ZAP أو Burp Suite أو Caido أو Gori كهدف وكيل، أو صدّر OpenAPI لتستوردها.
• سياق SAST للذكاء الاصطناعي. جرد نقاط النهاية (ومعه، مع --include callee، الدوال المستدعاة بمسافة قفزة واحدة التي يستدعيها كل معالج) هو السياق المركّز الذي يحتاجه مدقق LLM للعثور على الأخطاء التي يمكن للمهاجم الوصول إليها. يذهب --ai-context إلى أبعد من ذلك ويرفق سياق مراجعة مُجمَّع لكل نقطة نهاية — الحُرّاس، والدوال المستدعاة، والمصارف، والمدققات، والإشارات — حتى لا يضطر LLM إلى إعادة اكتشافها.
• CI/CD. GitHub Action، ومخرجات SARIF، ورموز الخروج — يتلاءم مع خط الأنابيب الذي لديك بالفعل.

الاستخدام

noir -h

مثال

noir scan <source_dir>

إذا كنت تستخدمها مع Github Action، فيرجى الرجوع إلى هذا المستند .

لمزيد من التفاصيل، يرجى زيارة صفحة التوثيق الخاصة بنا.

خارطة الطريق

بدأت Noir كأداة مساعدة لاختبار الصندوق الأبيض (WhiteBox): استخراج نقاط النهاية من الشفرة المصدرية حتى تتمكن DAST من فحصها بدقة أكبر. وقد نما هذا العمل — فأصبح نفس الجرد يغذّي المدققين البشريين ووكلاء SAST للذكاء الاصطناعي أيضًا. والهدف من هنا هو خدمة هؤلاء المستهلكين الثلاثة على قدم المساواة: البشر الذين يراجعون الشفرة، ونماذج LLM التي تدققها، وأدوات DAST التي تفحصها.

من هنا:

• توسيع تغطية اللغات وأطر العمل؛ والحفاظ على دقة صادقة عبر اختبارات ثابتة لكل إطار عمل.
• الاعتماد أكثر على نماذج LLM في الحالات التي لا يستطيع التحليل الساكن الوصول إليها.
• إثراء سياق المراجعة لكل نقطة نهاية (الحُرّاس، والدوال المستدعاة، والمصارف، والمدققات، والإشارات) حتى يتشارك المراجعون البشريون ومدققو الذكاء الاصطناعي نفس الرؤية المركّزة لكل معالج.
• الحفاظ على تكامل DAST في المقام الأول — OpenAPI، وأهداف الوكيل، والتسليم المباشر إلى ZAP / Burp / Caido / Gori.

مشروع OWASP

انضمت OWASP Noir إلى مؤسسة OWASP في يونيو 2024.

• صفحة المشروع الرسمية: https://owasp.org/projects/noir
• OWASP Nest: https://nest.owasp.org/projects/noir

الأخبار والتحديثات

• مايو 2026: إصدار v1.0.0 — تقديم خط 1.x مستقر عبر جميع المحللات، والوسوم، والفحص السلبي، وبنية CLI جديدة تمامًا محورها الأفعال.
• مايو 2026: تحديث خارطة الطريق — هدف Noir الآن هو خدمة البشر، ومدققي الذكاء الاصطناعي، وأدوات DAST على قدم المساواة كمستهلكين لنفس جرد نقاط النهاية.
• أغسطس 2025: تقديم في لقاء OWASP سيول. (Open Source Gardening)
• نوفمبر 2024: نشر مقال ضيف "Powering Up DAST with ZAP and Noir" على مدونة ZAP.
• يونيو 2024: الانضمام إلى OWASP باسم OWASP Noir
  • إعادة تسمية منظمة GitHub من noir-cr إلى owasp-noir
  • الانتقال إلى القيادة المشتركة مع @ksg97031
• نوفمبر 2023: نقل مستودع Noir إلى منظمة noir-cr على GitHub.
• أغسطس 2023: بدأ كمشروع شخصي لـ @hahwul.

الفريق الأساسي

المساهمة

Noir مشروع مفتوح المصدر صُنع بـ ❤️. إذا كنت ترغب في المساهمة، فيرجى الاطلاع على CONTRIBUTING.md وتقديم طلب سحب (Pull Request).

التميمة

	تميمتنا هي Hak (학)، وهو كركي يرمز إلى الأناقة والدقة في رصد العيوب الخفية. في الكورية، تعني "학" "الكركي"، ويمثل حليفًا حادًا يغوص عميقًا لكشف الثغرات وأسطح الهجوم في شفرتك. لمزيد من الأعمال الفنية والموارد المتعلقة بـ Hak، اطّلع على مستودع noir-artwork.