pip-audit

pip-audit هي أداة لفحص بيئات بايثون للعثور على الحزم التي تحتوي على ثغرات أمنية معروفة. تستخدم قاعدة بيانات نصائح حزم بايثون (Python Packaging Advisory Database) عبر واجهة PyPI JSON API كمصدر لتقارير الثغرات.

يتم صيانة هذا المشروع جزئياً بواسطة Trail of Bits بدعم من Google. هذا ليس منتجاً رسمياً من Google أو Trail of Bits.

فهرس

• الميزات
• التثبيت
  • الحزم الخارجية
  • إجراءات GitHub
  • دعم pre-commit
• الاستخدام
  • متغيرات البيئة
  • رموز الخروج
  • التشغيل التجريبي
• أمثلة
• استكشاف الأخطاء وإصلاحها
• نصائح وحيل
• نموذج الأمان
• الترخيص
• المساهمة
• مدونة قواعد السلوك

الميزات

• دعم لفحص البيئات المحلية وملفات الأنماط (requirements-style)
• دعم لخدمات ثغرات متعددة (PyPI, OSV)
• دعم لإصدار قوائم مكونات البرمجيات (SBOMs) بصيغة CycloneDX XML أو JSON
• دعم للإصلاح التلقائي للاعتماديات الضعيفة (--fix)
• تنسيقات إخراج قابلة للقراءة بواسطة الإنسان والآلة (جدولي، Markdown، JSON)
• إعادة استخدام مخابئ pip المحلية الموجودة بسلاسة

التثبيت

pip-audit يتطلب Python 3.10 أو أحدث، ويمكن تثبيته مباشرة عبر pip:```bash python -m pip install pip-audit

### حزم الطرف الثالث

هناك عدة حزم من **جهات خارجية** لـ `pip-audit`. المصفوفات والشارات أدناه تسرد بعضًا منها:

[![Packaging status](https://repology.org/badge/vertical-allrepos/python:pip-audit.svg)](https://repology.org/project/python:pip-audit/versions)
[![Packaging status](https://repology.org/badge/vertical-allrepos/pip-audit.svg)](https://repology.org/project/pip-audit/versions)
[![Conda - Platform](https://img.shields.io/conda/pn/conda-forge/pip-audit?logo=anaconda&style=flat)][#conda-forge-package]
[![Conda (channel only)](https://img.shields.io/conda/vn/conda-forge/pip-audit?logo=anaconda&style=flat&color=orange)][#conda-forge-package]

[#conda-forge-package]: https://anaconda.org/conda-forge/pip-audit

على وجه الخصوص، يمكن تثبيت `pip-audit` عبر `conda`:```bash
conda install -c conda-forge pip-audit

الحزم من طرف ثالث غير مدعومة مباشرة بواسطة هذا المشروع. يرجى الرجوع إلى وثائق مدير الحزم الخاص بك للحصول على إرشادات تثبيت أكثر تفصيلاً.

GitHub Actions

pip-audit لديه إجراء رسمي على GitHub Actions!

يمكنك تثبيته من GitHub Marketplace، أو إضافته إلى CI الخاص بك يدويًا:```yaml jobs: pip-audit: steps: - uses: pypa/[email protected] with: inputs: requirements.txt

انظر
[وثائق الإجراء](https://github.com/pypa/gh-action-pip-audit/blob/main/README.md)
لمزيد من التفاصيل وأمثلة الاستخدام.

### دعم `pre-commit`

`pip-audit` لديه دعم [`pre-commit`](https://pre-commit.com/).

على سبيل المثال، استخدام `pip-audit` عبر `pre-commit` لتدقيق ملف المتطلبات:```yaml
  - repo: https://github.com/pypa/pip-audit
    rev: v2.10.1
    hooks:
      -   id: pip-audit
          args: ["-r", "requirements.txt"]

ci:
  # Leave pip-audit to only run locally and not in CI
  # pre-commit.ci does not allow network calls
  skip: [pip-audit]

يمكن تمرير أي وسائط pip-audit الموثقة أدناه.

الاستخدام

يمكنك تشغيل pip-audit كبرنامج مستقل، أو عبر python -m:```bash pip-audit --help python -m pip_audit --help

<!-- @begin-pip-audit-help@ -->```
usage: pip-audit [-h] [-V] [-l] [-r REQUIREMENT] [--locked] [-f FORMAT]
                 [-s SERVICE] [--osv-url OSV_URL] [-d] [-S]
                 [--desc [{on,off,auto}]] [--aliases [{on,off,auto}]]
                 [--cache-dir CACHE_DIR] [--progress-spinner {on,off}]
                 [--timeout TIMEOUT] [--path PATH] [-v] [--fix]
                 [--require-hashes] [--index-url INDEX_URL]
                 [--extra-index-url URL] [--skip-editable] [--no-deps]
                 [-o FILE] [--ignore-vuln ID] [--disable-pip]
                 [project_path]

audit the Python environment for dependencies with known vulnerabilities

positional arguments:
  project_path          audit a local Python project at the given path
                        (default: None)