ماسح أمان شفرة عالمي سريع، مكتوب بلغة Rust. شامل: يدعم 14 لغة، واجهة طرفية للفرز، الأسرار، تدقيقات ما بعد الكم، مسح واعي بالفروقات والمزيد 𓃥
<p align="center"> <img src="https://raw.githubusercontent.com/0sec-labs/foxguard/main/www/public/foxguard-logo.png" width="128" alt="foxguard" /> </p> <h1 align="center">foxguard</h1> <p align="center"> <strong>فحص أمني محلي سريع للشيفرة والأسرار والتبعيات ومخاطر التشفير.</strong> <br /> <sub>مدمج في <a href="https://github.com/0sec-labs/0sec">0sec</a>، منصة الأمن السيبراني مفتوحة المصدر.</sub> </p> <p align="center"> <a href="https://github.com/0sec-labs/foxguard/actions/workflows/ci.yml"><img src="https://github.com/0sec-labs/foxguard/actions/workflows/ci.yml/badge.svg" alt="CI" /></a> <a href="https://github.com/0sec-labs/foxguard"><img src="https://img.shields.io/badge/foxguard-clean-3fb950" alt="foxguard: clean" /></a> <a href="https://crates.io/crates/foxguard"><img src="https://img.shields.io/crates/v/foxguard?color=d97706&label=crates.io" alt="crates.io" /></a> <a href="https://www.npmjs.com/package/foxguard"><img src="https://img.shields.io/npm/v/foxguard?color=d97706&label=npm" alt="npm" /></a> <a href="https://pypi.org/project/foxguard/"><img src="https://img.shields.io/pypi/v/foxguard?color=d97706&label=PyPI" alt="PyPI" /></a> <a href="https://github.com/apps/foxguard-app/installations/new"><img src="https://img.shields.io/badge/GitHub_App-Install-2ea44f?logo=github" alt="Install GitHub App" /></a> </p> ```sh npx foxguard . ``` <p align="center"> <img src="https://assets.kitploit.com/production/public/readmes/13909/2ce579a58299a47cd3e965f13b97bf1c5dcaf020496d4a4eb2141d414ff7bd0c.gif" alt="foxguard scan demo" width="640" /> </p> ## لماذا - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/checklist.png" alt=""> أكثر من 200 قاعدة مدمجة عبر 12 لغة مصدرية، بالإضافة إلى فحوصات الإعدادات والبيانات الوصفية - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/git-branch.png" alt=""> تتبع التلوث لـ 14 لغة، مع تحليل عبر الملفات لـ Python وJavaScript وGo وJava وRuby وPHP وC# وKotlin - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/zap.png" alt=""> فحوصات محلية وسريعة في CI، مع وضع الفروقات للإجابة على "ما الذي أضافه هذا الفرع؟" - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/key.png" alt=""> فحص الأسرار، وفحص التبعيات المدعوم بـ OSV، وتدقيق التشفير ما بعد الكمي - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/plug.png" alt=""> جسر YAML متوافق مع Semgrep/OpenGrep يحمّل ~98% من السجل العام ([تقرير التغطية](https://github.com/0sec-labs/foxguard/blob/main/docs/parity/registry-coverage.md)) - <img height="14" src="https://raw.githubusercontent.com/0sec-labs/.github/main/profile/assets/icons/file-code.png" alt=""> مخرجات Terminal وJSON وSARIF وCycloneDX 1.6 CBOM وJSON متوافق مع Semgrep ## التثبيت ```sh npx foxguard . # zero install pipx install foxguard # prebuilt CLI from PyPI curl -fsSL https://foxguard.dev/install.sh | sh # prebuilt binary (macOS/Linux) cargo install foxguard # from source ``` تتحقق مثبتات الملفات التنفيذية المستقلة من ملفات GitHub release الثنائية مقابل `checksums.txt`. كما تنشر الملفات الثنائية للإصدارات شهادات GitHub artifact attestations؛ استخدم `gh attestation verify` للتحقق اليدوي، أو راجع [مصدر الإصدار](https://github.com/0sec-labs/foxguard/blob/main/docs/release-provenance.md). تدعم حزم PyPI الإصدار Python 3.9+ على Linux glibc 2.28+ (x86_64/ARM64)، وmacOS (Intel/Apple Silicon)، وWindows x86_64. في بيئة Python افتراضية موجودة، استخدم `python -m pip install foxguard` بدلاً من ذلك. تقوم هذه بتثبيت CLI الأصلي دون مترجم Rust أو تنزيل ملف تنفيذي وقت التشغيل؛ لا يتم توفير واجهة Python API. يجب على مستخدمي Alpine/musl استخدام ملفات Linux التنفيذية المستقلة للإصدارات. **GitHub Action:** ```yaml - uses: 0sec-labs/foxguard/[email protected] with: path: . severity: medium fail-on-findings: "true" upload-sarif: "true" ``` **pre-commit:** ```yaml repos: - repo: https://github.com/0sec-labs/foxguard rev: v0.14.0 hooks: - id: foxguard ``` التكاملات: [GitHub App](https://github.com/apps/foxguard-app/installations/new)، [VS Code](https://marketplace.visualstudio.com/items?itemName=peaktwilight.foxguard)، [إضافة Claude Code](https://github.com/0sec-labs/foxguard/blob/main/docs/claude-code-integration.md)، و[خادم MCP](https://github.com/0sec-labs/foxguard/blob/main/docs/mcp-server.md). ### عمليات GitHub App المستضافة يكتب `foxguard-github-app` سجلات JSON مفصولة بأسطر جديدة. تستخدم الفحوصات المكتملة والفاشلة `event=foxguard.scan.completed` و`event=foxguard.scan.failed`، مع حقول التسليم والتثبيت والمستودع وPR والالتزام والمدة و`usage_scope` للربط. احتفظ بالمعرفات كحقول سجل، وليس كتسميات مقاييس. اضبط `FOXGUARD_INTERNAL_ACCOUNTS` على قائمة مفصولة بفواصل لحساباتك ومنظماتك على GitHub. المطابقة غير حساسة لحالة الأحرف. يتم تصنيف المالكين الآخرين كـ `external`؛ القائمة غير المضبوطة أو المالك المفقود ينتج `unknown`. النشاط الخارجي ليس دليلاً على عميل يدفع، والفحوصات ليست أشخاصاً. يتم مطابقة سجل التثبيت مقابل جميع صفحات GitHub App installation API عند بدء التشغيل وكل ساعة. تحتفظ عمليات التحديث الفاشلة بالحالة الحالية؛ تأخذ webhooks المتزامنة الأولوية. تحافظ بيانات webhook المتناثرة على تفاصيل الحساب المعروفة وأسماء المستودعات المرصودة. هذه الأسماء ليست جرداً كاملاً للمستودعات المتاحة للتثبيت. احتفظ بـ `FOXGUARD_INSTALLATIONS_PATH` و`FOXGUARD_PULL_REQUEST_JOBS_PATH` على تخزين دائم. راقب `foxguard.installations.reconcile_failed` إلى جانب فشل الفحوصات؛ يبلغ `foxguard.installations.reconciled` عن إجمالي وعدد التثبيتات الداخلية/الخارجية/غير المعروفة بعد تحديث ناجح. اضبط حجم `FOXGUARD_PR_WORKERS` بناءً على ذروة الذاكرة المقاسة للماسح وحد ذاكرة الحاوية: يمكن أن تحدث عمليات قتل OOM للعمليات الفرعية دون إعادة تشغيل التطبيق المستضاف. ## البدء السريع ```sh foxguard . # scan everything foxguard diff main . # only new findings vs main foxguard tui . # interactive terminal review foxguard secrets . # leaked credentials and keys foxguard sca . # dependency vulnerabilities from OSV foxguard pqc . # post-quantum crypto audit foxguard --format sarif . > results.sarif foxguard --format semgrep-json . # Semgrep CLI-compatible JSON ``` استخدم `foxguard --fix src/` أو `foxguard --fix src/app.py` لتطبيق إصلاحات التلوث المدعومة في مكانها. يتم التحقق من الأهداف مقابل دليل الفحص الأساسي أو الملف المحدد؛ يتم تخطي النتائج خارج هذا النطاق. إصلاحات حقن الأوامر في Python تضيف `import subprocess` عند الحاجة، مع الحفاظ على docstrings الوحدة و الاستيرادات المستقبلية. راجع التغييرات المُنشأة قبل الالتزام بها. تخرج حالات فشل قراءة الملف والبيانات الوصفية واجتياز الدليل في ماسح الشيفرة الأصلي بالرمز `2` بدلاً من إنتاج تقرير ناجح أو الكتابة فوق خط أساس. تظل الاستثناءات المقصودة والملفات غير المدعومة أو الثنائية أو كبيرة الحجم عمليات تخطي؛ افحص إشعارات الملفات المتخطاة عند التحقق من تغطية الفحص. ## المراجعة في الطرفية شغّل `foxguard tui .` واختر **Scan** أو **Diff** أو **Secrets** أو **PQC** باستخدام الأسهم أو Tab. في وضع Diff، اكتب الفرع الهدف قبل الضغط على Enter. تعرض الطرفيات العريضة النتائج بجانب تفاصيلها؛ تستخدم الطرفيات الأصغر قائمة مع عرض تفاصيل قابل للتوسيع. يظل سياق المصدر وتدفق البيانات والإصلاحات قابلة للتمرير كلما وفرت النتيجة ذلك. يفصل الرأس إحصائيات الفحص عن فئات خط الأساس. يتم تمييز نطاقات المصدر المحددة ضمنياً، دون صفوف تعليقات إضافية. تبقى عناصر التحكم في الفتح أسفل لوحة التفاصيل المباشرة أثناء تمرير محتواها، وتحتفظ مواقع الملفات المختصرة بلواحق السطر والعمود الخاصة بها. تمتلك البحث ومربعات الحوار اختصاراتها أثناء نشاطها. إذا تعذر تحميل سياق المصدر، تظل مقتطفات النتيجة المحفوظة متاحة. تستخدم الأسرار مقتطفات محجوبة بدلاً من تحميل المصدر الخام في لوحة التفاصيل. تعرض بطاقة التحميل نشاطاً غير محدد ووقتاً منقضياً فعلياً، وليس تقديراً بنسبة مئوية. يخرج Ctrl+C أثناء الفحص. | المفتاح | الإجراء | |-----|--------| | `j` / `k`، الأسهم، Home / End | التنقل بين النتائج | | `v` | توسيع التفاصيل أو العودة إلى عرض القائمة/التقسيم | | PageUp / PageDown | تصفح القائمة، أو تمرير التفاصيل المرئية | | `/`، Enter | تحرير وتطبيق بحث | | Ctrl+U | مسح البحث الذي يتم تحريره | | Esc | إغلاق نافذة، إلغاء تعديلات البحث، مغادرة التفاصيل الموسعة، أو مسح الفلاتر المطبقة | | `0`–`4`، `c`، Shift+C | الحد الأدنى للخطورة، عتبة الثقة، وترتيب الفرز | | `f` | التبديل بين All → Unreviewed → Todo → Reviewed → Ignore | | `i` | معاينة وتطبيق إجراءات الفرز | | Space، `a`، `x` | تحديد نتيجة واحدة، تبديل التحديدات المرئية، ومعاينة إجراء دفعي | | Shift+F | حفظ، تحميل، استبدال، أو حذف فلاتر مسماة؛ استعادة تخزين المراجعة | | `b` | التبديل بين فئات خط الأساس عند توفر مقارنة | | Tab، Enter / `o` | اختيار finding/source/sink وفتحه في محررك | | `w`، `[` / `]` | عرض الإشعارات وتمرير سجلها؛ تظهر الإشعارات الأحدث أولاً | | `e` | تصدير CBOM أو JSON أو SARIF | | `?`، `q` / Ctrl+C | المساعدة والخروج؛ يعمل Ctrl+C أيضاً داخل كل نافذة | يستخدم Enter و`o` قيمة `$VISUAL` غير الفارغة، ثم `$EDITOR`. بدون أي من هذين الإعدادين، يبحث foxguard عن `nvim` أو `vim` أو `nano` أو `vi` في `PATH` قبل النظر في فاتح سطح مكتب متاح. لا تتطلب الطرفيات بلا واجهة `xdg-open`. على سبيل المثال، شغّل `VISUAL="nvim" foxguard tui .` أو اضبط `EDITOR='code --wait'`. يتم الإبلاغ عن إعداد محرر صريح معطل بدلاً من استبداله بصمت؛ إذا لم يتوفر محرر، تبقى TUI مفتوحة مع إرشادات الإعداد. تقفز المحررات المدعومة إلى سطر finding/source/sink المحدد. تستمر علامات المراجعة تلقائياً في تخزين لكل مستخدم، مقيّد بجذر المشروع الأساسي ووضع الفحص (بما في ذلك الهدف في وضع Diff). تستعيد الفلاتر المسماة البحث والخطورة والثقة وحالة المراجعة والفرز وفئة خط الأساس عند تحميلها بـ Shift+F. لا تغير إعدادات فحص المستودع. تعرض القائمة النتائج المرئية/الإجمالية وتقدم المراجعة؛ تغيير الفلاتر أو الفرز يحافظ على نفس النتيجة محددة عندما تظل مرئية. إلغاء تعديلات البحث يستعيد الاستعلام المطبق سابقاً. تنجو النتائج المحددة من تغييرات الفلاتر. يفتح `x` الإجراءات الدفعية؛ يعرض Enter الأهداف الدقيقة وعدد التحديدات المخفية والوجهة ونطاق التأثير. فقط `y` يطبق المعاينة؛ الضغط على Enter مرة أخرى لا يؤكدها، وEsc يلغي دون كتابة. تضيف إجراءات خط الأساس بصمات دقيقة. يمكن لإجراءات تكوين القاعدة/الملف والمشروع بأكمله أيضاً التأثير على النتائج غير المحددة، كما تحذر المعاينة. إذا فشل هدف تكوين، تبقى الكتابات الناجحة ويتم الإبلاغ عن النتائج؛ الدفعة ليست معاملة. يستخدم التخزين `$XDG_STATE_HOME/foxguard/tui` (أو `~/.local/state/foxguard/tui`) على Linux، وApplication Support على macOS، و `%LOCALAPPDATA%` على Windows. تمنع الكتابات الذرية وفحوصات المراجعة طرفية واحدة من الكتابة فوق أخرى بصمت. تترك أخطاء التخزين التغييرات المحلية ظاهرة **UNSAVED**. في Shift+F، يعيد `w` محاولة الحفظ، ويعيد `r` التحميل صراحةً من القرص، و يؤكد Shift+R نسخاً احتياطياً وإعادة تعيين للمشروع/الوضع الحالي. يمكن أن تتجاهل إعادة التحميل/التعيين التغييرات غير المحفوظة؛ تحافظ إعادة التعيين على البايتات السابقة على القرص، وليس العلامات غير المحفوظة. يحتوي تخزين المراجعة على بصمات وإعدادات فلاتر، وليس شيفرة المصدر. تشمل الصادرات نتائج الفحص الحالي، وليس فقط الصفوف المرئية المفلترة، وتُكتب في دليل العمل الحالي. تتطلب الملفات العادية الموجودة تأكيد `y` صريح؛ Esc يلغي. الكتابات ذرية ويتم رفض روابط الوجهة الرمزية، بما في ذلك الروابط المعلقة. استخدم `foxguard tui --baseline .foxguard/baseline.json .` لمراجعة مقارنة خط أساس محفوظة. على عكس كتم CLI، تحتفظ المراجعة في الطرفية بالنتائج الحالية وتفصل بين الإدخالات **introduced** و**recurring** و**resolved**. يعني resolved غائب عن مخرجات الفحص الحالي، وليس معالجة مؤكدة: قارن النطاق والقواعد والعتبات المكافئة. تشمل هوية خط الأساس الملف وموقع المصدر، لذا قد تظهر نقل نتيجة كـ introduced بالإضافة إلى resolved. صفوف resolved هي بيانات وصفية تاريخية للقراءة فقط؛ ينطبق البحث فقط، و`v` يوسع تفاصيلها القابلة للتمرير. عد إلى فئة النتائج الحالية لفرز أو تصدير الفحص الحالي. يبقى Git Diff مقارنة منفصلة مقابل فرع. ## تغطية اللغات | اللغة | القواعد المدمجة | تتبع التلوث | قواعد واعية بالإطار | |----------|:-:|:-:|---| | JavaScript / TypeScript | نعم | نعم | Express, Next.js | | Python | نعم | نعم | Django, Flask, FastAPI | | Go | نعم | نعم | Gin | | Kotlin | نعم | نعم | Spring | | Java | نعم | نعم | Spring | | Ruby | نعم | نعم | Rails | | PHP | نعم | نعم | Laravel | | Rust | نعم | -- | -- | | C# | نعم | نعم | .NET | | Swift | نعم | نعم | iOS | | Haskell | نعم | -- | Cardano seed rules | يغطي تتبع التلوث أيضاً C وBash وSolidity. تغطي فحوصات الإعدادات والبيانات الوصفية والقواعد الخارجية Dockerfile وNginx وApache وHAProxy وHCL/Terraform وYAML/JSON/XML/HTML وC عبر Semgrep YAML/Coccinelle والمزيد. ## أوضاع الأمان ```sh foxguard sca . foxguard pqc . foxguard --rules ./semgrep-rules . ``` يدعم SCA ملفات `Cargo.lock` و`package-lock.json` و`pnpm-lock.yaml` و`requirements.txt` و`poetry.lock` و`Pipfile.lock`. تدقيق PQC هو بطاقة تقييم ثنائية الجانب: يحدد البدائيات المعرضة للخطر الكمي (RSA، ECDSA/DSA، ECDH/DH) مع مواعيد ترحيل CNSA 2.0، ويكتشف أيضاً خوارزميات ما بعد الكم المستخدمة بالفعل (ML-KEM، ML-DSA، SLH-DSA، FN-DSA، HQC، والهجينة مثل X25519MLKEM768) كمعلوماتية، جرد مقاوم للكم — مع الإبلاغ عن نسبة جاهزية الترحيل. يصدر الجانبان إلى CycloneDX 1.6 CBOM، حيث تظهر خوارزميات ما بعد الكم كأصول مقاومة للكم بدلاً من الثغرات. ## التكوين يكتشف foxguard تلقائياً `.foxguard.yml` من مسار الفحص صعوداً. ```yaml scan: baseline: .foxguard/baseline.json disable_rules: [py/no-eval] secrets: exclude_paths: [fixtures, testdata] ``` اكتم نتيجة مقبولة ضمنياً باستخدام `// foxguard: ignore[rule-id]`. ## التوثيق ابدأ بـ [فهرس التوثيق](https://github.com/0sec-labs/foxguard/blob/main/docs/README.md). المراجع الرئيسية: [البنية](https://github.com/0sec-labs/foxguard/blob/main/docs/architecture.md)، [التوافق مع Semgrep/OpenGrep](https://github.com/0sec-labs/foxguard/blob/main/docs/compatibility.md)، و[دليل الإصدار](https://github.com/0sec-labs/foxguard/blob/main/docs/releasing.md). ## المعايير | المستودع | LoC | foxguard | Semgrep | التسريع | |------|-----|----------|---------|---------| | express | 15K JS | 0.28s | 6.09s | **22x** | | flask | 14K Py | 0.33s | 6.51s | **20x** | | gin | 18K Go | 0.50s | 4.95s | **10x** | | sentry | 1.3M Py | 35s | 194s | **5x** | أعد الإنتاج باستخدام `./benchmarks/run.sh`؛ تختلف النتائج حسب الجهاز. راجع [`benchmarks/README.md`](https://github.com/0sec-labs/foxguard/blob/main/benchmarks/README.md). ## المساهمة راجع [`CONTRIBUTING.md`](https://github.com/0sec-labs/foxguard/blob/main/CONTRIBUTING.md) لتأليف القواعد والاختبارات وإعداد التطوير. ## الترخيص MIT OR Apache-2.0 -- [0sec Labs](https://0sec.ai)
