Sighthound

ما يفعله

• يفحص الكود المصدري بحثاً عن مشكلات أمنية باستخدام قواعد واعية بـ AST.
• يدعم وضع النمط ووضع التلوث (تتبع من المصدر إلى المصب).
• يتعامل مع المشاريع متعددة الملفات والتنفيذ المتوازي.
• يُخرج النتائج كنص، JSON، CSV، أو SARIF.
• يحمّل حزم القواعد المضمنة حسب امتداد الملف، مع إمكانية استخدام قواعد مخصصة مبنية على ملفات.

دعم اللغات

غير مدعوم حالياً: Razor (.cshtml), C/C++ (.c, .h).

التثبيت

المتطلبات الأساسية:

• Rust 1.85+
• Git

البناء من المصدر:

git clone https://github.com/Corgea/Sighthound.git
cd Sighthound
cargo build --release

مسار الثنائي: target/release/sighthound

تصدير الإصدار المتوافق مع حاويات لينكس:

DOCKER_BUILDKIT=1 docker build \
  --target export \
  --output type=local,dest=./sighthound_release \
  .

أو قم بتشغيل ./build_all_platforms.sh.

بداية سريعة

# الكشف التلقائي عن اللغات وتشغيل القواعد المضمنة
cargo run --bin sighthound -- /path/to/project

# لغة محددة + مسار قواعد مخصص
cargo run --bin sighthound -- /path/to/project python rules/python

# فحص تلوث فقط وإخراج JSON
cargo run --bin sighthound -- --taint-analysis --output-format json /path/to/project > findings.json

# إخراج SARIF لفحص كود GitHub
cargo run --bin sighthound -- --output-format sarif /path/to/project > results.sarif

شكل CLI:

sighthound [OPTIONS] <ROOT_DIR> [LANGUAGE] [RULES_PATH]

شغّل sighthound --help للحصول على قائمة الخيارات الكاملة.

فحص كود GitHub

صيغة الإخراج sarif تكتب SARIF 2.1.0، التي يستوعبها فحص كود GitHub مباشرة. قم برفعها من سير عمل لتظهر النتائج داخل طلب السحب وفي علامة التبويب "الأمان" بالمستودع:

قم بتشغيل الفحص من جذر المستودع واستخدم . (أو المسار المطلق لجذر المستودع) كـ <ROOT_DIR> لتبقى روابط عناصر SARIF نسبية للمستودع.

- name: تشغيل Sighthound
  run: sighthound --output-format sarif . > results.sarif
- name: رفع SARIF
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

القواعد

القواعد مكتوبة بصيغة RON وتدعم كلاً من:

• mode: "search" لمطابقة الأنماط
• mode: "taint" لتحليل المصدر/المصب/المعقم

ابدأ من هنا:

• دليل كتابة القواعد
• دليل القواعد المضمنة

التطوير

الأوامر الأساسية:

make check        # إصلاح + تنسيق + فحص + اختبار + تقرير الكبت
make pre-commit   # ملفات Rust المعدة (hook)
make pre-push     # فحوصات بوابة الدفع
make ci           # خط أنابيب CI صارم

بوابات جودة إضافية:

make complexity
make audit
make acceptance
cargo harness coverage --min=0
cargo harness crap --max=30

القيود

• قد تفوت الثغرات التي تظهر فقط أثناء التشغيل في مسارات كود ديناميكية.
• يمكن للملفات الكبيرة جداً أن تزيد من وقت الفحص.
• تتبع التلوث متعدد الملفات مدعوم لكنه لا يزال مجالاً يحتاج إلى مزيد من التقوية.

المساهمة

• دليل المساهمة
• مدونة السلوك
• سياسة الأمان

الترخيص

• رخصة MIT
• إشعارات الطرف الثالث