Pyscan

Pyscan هو ماسح ثغرات عالي التزامن مكتوب بلغة Rust. يتنقل تلقائيًا عبر مشروع Python الخاص بك، ويستخرج التبعيات عبر تنسيقات التغليف المختلفة، ويطابقها مع قاعدة بيانات الثغرات مفتوحة المصدر (OSV) في طلب دُفعة غير متزامن واحد.

صُمم Pyscan لحل اختناقات الأداء والذاكرة في أدوات الأمان التقليدية المبنية على Python:

• مكاسب الأداء: يحقق تسريعًا يصل إلى 5.25x مقارنة بالأدوات المعيارية مثل pip-audit وsafety على مجموعات البيانات المتوسطة إلى الكبيرة. يعمل وقت تشغيل Pyscan وفق نموذج تعقيد زمني $O(\text{vulns})$، إذ يتناسب زمن التنفيذ مع عدد الثغرات المكتشفة، وليس مع عدد التبعيات لديك.
• بصمة ذاكرة ثابتة: يظل استخدام Pyscan للذاكرة ثابتًا تمامًا (~45MB) سواء كنت تفحص 15 تبعية أو أكثر من 700 تبعية. أمر جيد جدًا لخطوط أنابيب CI/CD ذات الذاكرة المحدودة.
• دعم شامل: يحل ويستخرج التبعيات تلقائيًا من ملفات SBOM (CycloneDX، SPDX) وuv.lock وrequirements.txt وpyproject.toml (Poetry, Hatch, PDM, Flit)، أو ديناميكيًا عبر تحليل الكود المصدري الخام .py.
• تحليل إمكانية الوصول: يتجاوز Pyscan مجرد تحليل ملفات البيان الثابتة. فهو يستخدم استدلالات لفحص الكود المصدري، وتحديد وإبراز المكان الذي يتم فيه استيراد تبعية ضعيفة بدقة، مما يوفر سياقًا فوريًا للمعالجة.

اقرأ التحليل المتعمق في تقرير المعايير.

التثبيت

يمكنك تثبيت Pyscan عبر pipx أو pip (حزمة Python مُجمَّعة بصيغة wheel) أو cargo (ثنائي Rust أصلي):

# via pipx (recommended) (Note the "-rs" suffix)
pipx install pyscan-rs

# via pip (Note the "-rs" suffix) 
pip install pyscan-rs

# via Cargo
cargo install pyscan

الاستخدام

ما عليك سوى تشغيل pyscan في المجلد الجذر لمشروعك، أو توجيهه إلى مجلد مصدري محدد:

# Scan the current directory
pyscan

# Scan a specific directory
pyscan -d path/to/src

أولوية حل التبعيات

إذا وُجدت ملفات مصدرية متعددة، يستخرج Pyscan التبعيات وفقًا لسلسلة الأولوية هذه:

1. ملفات SBOM (bom.json, spdx.json)
2. uv.lock
3. requirements.txt
4. pyproject.toml
5. الكود المصدري الخام (.py)

سيلجأ Pyscan إلى الاستعلام من PyPI عن أحدث إصدار إذا وُجدت تبعية بدون إصدار محدد بدقة، على الرغم من أن الالتزام ببناء جملة PEP-508 موصى به بشدة.

البناء والبنية المعمارية

يتطلب Pyscan مجموعة أدوات Rust >= v1.70 ويستفيد من الاتصال الشبكي غير المتزامن عبر reqwest وtokio لتوازي استعلامات OSV وزيادة الإنتاجية إلى أقصى حد. إذا كنت مهتمًا بمعرفة كيفية تنظيم المحلل والماسح، فراجع نظرة عامة على البنية.

إخلاء مسؤولية

Pyscan أداة عالية التحسين، لكنها لم تُختبر بعد في جميع الحالات الحدية. وهي لا تضمن أن الكود الخاص بك آمن 100% من جميع نواقل الهجوم. أوصي بشدة باستخدام نهج أمني متعدد الطبقات إلى جانب أدوات مثل Dependabot أو pip-audit أو Trivy. الطلبات (PRs) والقضايا (issues) مرحب بها بحرارة!

خارطة الطريق (اعتبارًا من أبريل 2026)

• إضافة دعم SBOM بصيغتي cyclonedx وSPDX.
• تمثيل حالة مستمرة للوضع الأمني لمشروع.
• تحليل رسومي للرسم البياني الموجّه غير الدائري (DAG) للتبعيات غير المباشرة.
• تحسين تحليل إمكانية الوصول للاستيرادات المتداخلة بعمق.

تبرع

بدأت هذا المشروع عندما كنت طالب مدرسة ثانوية مفلسًا، والآن أنا طالب جامعي مفلس. إذا كان Pyscan قد وفّر على خطوط أنابيب CI/CD الخاصة بك بعض الوقت الثمين والذاكرة، ففكر في شراء قهوة لي: