GitGalaxy

الوثائق · العرض المرئي

فحص واحد · 97 إشارة بنيوية · +50 لغة · 0 حاجة إلى البناء
19 درجة تعرض للمخاطر · 6 تقارير نهائية · 0 تبعيات · pip install gitgalaxy

ما نقطة الألم التي يحلّها هذا؟

GitGalaxy موجود لحل مشكلة متكررة واحدة: فهم قاعدة أكواد كبيرة وحقيقية ومتعددة اللغات لا تُبنى بشكل نظيف — وهي الحالة التي تكون عليها معظم مستودعات الإنتاج فعلًا، وليست المدخلات النظيفة أحادية اللغة التي تفترضها معظم أدوات التحليل الساكن.

• فحص شامل للنظام عبر +50 لغة في تمريرة واحدة. لا سلسلة أدوات لكل لغة، ولا بناء ناجح مطلوب. مستودع متعدد اللغات يخلط Go وYAML وShell وPython معًا يُفحص كنظام واحد، وليس كخمس استدعاءات أدوات منفصلة.
• لا بناء أبدًا. التبعيات المعطوبة، الحزم المفقودة، الكود المورّد المنفصل، الوحدات القديمة المهاجرة جزئيًا — كلها تُفحص بالطريقة نفسها التي يُفحص بها المستودع النظيف، لأن لا شيء هنا يحتاج إلى بناء أولًا.
• سريع بما يكفي للعمل في كل commit. معظم المستودعات تُفحص في أقل من دقيقة بكثير — Kubernetes، 1.39 مليون سطر عبر Go وYAML وJSON وShell وProto، يُفحص من البداية إلى النهاية في 50.83 ثانية. زمن الفحص يُلائم كنظامين عبر دفعة من 599 مستودعًا — تكلفة ثابتة تحت ~4,258 سطرًا، ثم time(s) ≈ 3.36e-05 × LOC^0.969 فوق ذلك (R²=0.88، شبه خطي، لا يتدهور مع المدخلات الكبيرة) — انظر الإثبات، وليس مجرد ادعاءات للرسم البياني والاشتقاق، وليس لهذا العنوان المقرّب فقط.
• مخرجات أصلية لـ CI، وليست تقريرًا مستقلًا. كل فحص يُنتج ملف SARIF (يُسقط مباشرة في لوحات تحكم أمان GitHub/GitLab)، وقائمة مكونات برمجية CycloneDX SBOM (الامتثال للتبعيات)، ودرجة تعرض للمخاطر من 0 إلى 100 لكل ملف ومجلد ومستودع. انظر المعايير لأمثلة حقيقية قابلة للفحص لكل منها.

هذه ليست أداة فحص ثغرات تنافس CodeQL أو Semgrep أو SonarQube. تلك الأدوات تقوم بتحليل عميق ودقيق بمجرد أن يُبنى الكود، عادةً لغة واحدة في كل مرة. يجيب GitGalaxy على سؤال مختلف أولًا — كيف يبدو هذا النظام بالكامل فعلًا، وأين تتركز المخاطر — عبر كل لغات المستودع في وقت واحد، قبل أن يكون لدى تلك الأدوات الأعمق حتى بناءً للعمل عليه. انظر «كيف يقارن هذا من الناحية البنيوية» أدناه لمعرفة أين تبدأ مهمة كل أداة وتنتهي بالضبط.

يستطيع Gitgalaxy تقييم مستودعات كاملة تتكون من مزيج من أكثر من 50 لغة مختلفة، ورسم خريطة البنية، وإظهار درجات التعرض للمخاطر إلى جانب أهداف إعادة الهيكلة ذات الأولوية — النقاط الساخنة، ومخاطر عامل الناقل، والملفات الحمّالة — لتعرف أين تركّز أولًا. الرسم البياني أدناه هو سير عمل من فحص gitgalaxy واحد لمستودع الاختبار الذهبي لدينا، والذي يحتوي على ملفات أكواد نموذجية من برنامج رحلة Apollo-11 لعام 1969 وحتى حزم التقنيات الحديثة. المعيار

ذكاء البنية — الأمان والتنقل في الكود وتحديث الأنظمة القديمة مبني على رسم بياني واحد

الناتج الأساسي لـ Gitgalaxy هو شيء واحد: رسم بياني بنيوي حتمي للمستودع بالكامل. تدقيق الأمان، وترتيب أولويات إعادة الهيكلة، وترجمة اللغات من القديم إلى الحديث (انظر أدوات وحالات استخدام مستودعات المؤسسات أدناه) كلها تستهلك ذلك الرسم البياني نفسه، وليست منتجات منفصلة بمحركات منفصلة — وهذا ما يجعله أقرب إلى منصة ذكاء بنيوي منها إلى ماسح ثغرات أحادي الغرض.

معظم محركات ذكاء الكود تستخدم AST، مثل tree-sitter، الذي يقدم عرضًا مفصلاً بشكل مفرط للمستودع (مثل طلب فهم منزل والحصول على قائمة بكل طوبة ولوح زجاجي) ويحد من اللغات والملفات التي يمكن فحصها. المستودعات الحديثة متعددة اللغات. العديد من المستودعات تحتوي كودًا قديمًا دون AST جيد. لتجاوز ذلك، يستخدم Gitgalaxy محرك تحليل بنيوي مخصص قائم على regex/معجمي مع طبقة إحصائية فوقه — يبني متجه ميزات لكل ملف (من ~97 فئة «إشارة» regex تحدد حدود الدوال وتدفق التحكم والإدخال/الإخراج وتغيير الحالة وعشرات السلوكيات البنيوية الأخرى ذات الصلة بالأمان) ولكل مستودع (رسم بياني للتبعيات عبر تحليل الاستيراد + PageRank/المركزية)، ثم يحول تلك العدادات الأولية إلى درجات مخاطر معيارية من 0 إلى 100 عبر دوال سيجمويد، ويصدر النتيجة إلى ستة تنسيقات.

يستبدل Gitgalaxy الدقة على مستوى AST بسرعة أكبر بمراتب وتغطية لغوية شاملة، وبنفس الروح التي استبدل بها BLAST محاذاة Smith-Waterman الشاملة بالسرعة الاستدلالية في علم الجينوم. تشمل المخرجات SARIF وCycloneDX SBOM ورسمًا بيانيًا معرفيًا قابلاً للاستعلام بصيغة SQLite وملخص بنية محسّنًا لنماذج اللغات الكبيرة (LLM) وبيانات تصور ثلاثي الأبعاد من تمريرة فحص واحدة — انظر «ما نقطة الألم التي يحلّها هذا؟» أعلاه لأرقام زمن الفحص الحقيقية بدلًا من صفة مجردة.

النتيجة رسم بياني معرفي حتمي للمستودع، مبني دون الحاجة أبدًا إلى بناء الكود. يحسب نسبة كود الاختبار إلى المنطق الأساسي، ويرسم «نصف قطر الانفجار» النهائي لكل ملف عبر رسم التبعيات البياني، ويُظهر إشارات بنية المشروع التي تفوتها أدوات الفحص سطرًا بسطر تمامًا. استخراج الإشارات لكل ملف يعمل بزمن خطي مع حجم قاعدة الكود؛ مقاييس الرسم البياني على مستوى المستودع (المركزية، اكتشاف المجتمعات) تستخدم خوارزميات تحليل شبكات قياسية مع حدود أخذ عينات صريحة على الرسوم البيانية الكبيرة جدًا.

عبور ذلك الرسم البنيوي مع تاريخ git يكشف أيضًا عن إشارتي إعادة هيكلة محددتين وذات أولوية: مخاطر عامل الناقل (bus-factor) (ملفات حمّالة يملكها مساهم واحد بالكامل تقريبًا) ونقاط إعادة الهيكلة الساخنة (ملفات تجمع في الوقت نفسه بين التغيير المتكرر والتعقيد العالي والديون العالية — الإشارة المعيارية إلى أين يؤتي جهد إعادة الهيكلة ثماره فعلًا). كلاهما هدفان مسميان على مستوى الملف، وليسا مجرد درجة.

فحص Apollo-11 بمحرك blAST

ما الذي يجده GitGalaxy — وما لا يدّعيه

يُنتج GitGalaxy نوعين مختلفين من المخرجات، ويجب قراءتهما بشكل مختلف.

درجات التعرض للمخاطر هي إشارة من 0 إلى 100، معيارية الكثافة، عبر 19 فئة (الأسرار، سطح الحقن، تلف الذاكرة، والمزيد)، مجمعة من الدالة إلى الملف إلى المجلد إلى المستودع. الدرجة المرتفعة تعني أن هذا يستحق الاهتمام أولًا — إنها إشارة تحديد أولويات، وليست حكمًا. يمكن لملفين أن يحملا نفس الدرجة لأسباب مختلفة تمامًا: مشكلة حقيقية، أو نمط مشروع يبدو مطابقًا على السطح. البرمجيات الخبيثة المشفّرة وروتين التشفير المختبر جيدًا كلاهما يُنتج إنتروبيا عالية. لا يستطيع GitGalaxy إخبارك أيّهما وجد — فقط أن هناك شيئًا يستحق نظرة ثانية.

النتائج هي علامات فردية على مستوى السطر: توقيع بنيوي محدد تجاوز عتبة خطر. هذه أدلة للمراجعة، وليست ثغرات مؤكدة. GitGalaxy لا ينفّذ الكود أبدًا، ولا يتتبع تدفق البيانات وقت التشغيل، ولا يتحقق من قابلية الاستغلال — بل يخبرك أن نمطًا موجودًا في النص، في هذا السطر بالضبط، ويمنحك السياق لتحكم بنفسك.

هذا مقصود، وليس قيدًا نخفيه. صُمم GitGalaxy ليميل نحو الاستدعاء (recall) على حساب الدقة: ضع علامات أكثر، ودع إنسانًا أو أداة أعمق تضيّق القائمة، بدلًا من المخاطرة بالصمت تجاه شيء حقيقي. الإيجابيات الكاذبة هي التكلفة المتوقعة لهذه المقايضة، بنفس الطريقة التي هي عليها لكل محلل ساكن لا ينفّذ الكود الذي يقرؤه.

هذا يعني أيضًا أن GitGalaxy أقوى ما يكون ضد فئة محددة من المشاكل — الإهمال، وليس التهرب العدائي. مفتاح مضمّن نسي شخصٌ إزالته، أو سجل غير آمن، أو استدعاء eval() خطر بشكل واضح — لا أحد في الطرف الآخر من هذه الأشياء يحاول الاختباء من الماسح. المهاجم ذو الدافع المحدد الذي يعرف كيفية عمل الكشف الساكن القائم على التواقيع يمكنه التهرب من إشارات فردية مثل عتبات الإنتروبيا بجهد ضئيل. تعامل مع GitGalaxy كالمرور الأول السريع عبر قاعدة كود أكبر من أن تُقرأ يدويًا — وليس الكلمة الأخيرة حول ما إذا كان شيء آمنًا.

الإثبات، وليس مجرد ادعاءات

كل ادعاء بـ«توقيع بنيوي» و«بدون AST» أعلاه مدعوم بثلاثة أشياء يمكنك فحصها وإعادة تشغيلها بنفسك، وليس مجرد تصديق:

1. 3,649 اختبار انحدار لكل توقيع. gitgalaxy/standards/language_standards.py يعرّف كل قاعدة regex يستخدمها المحرك للتعرف على بنية — بداية دالة، أو حد API، أو تجاوز أمان — عبر 45 لغة تمتلك تواقيع بنيوية حقيقية (~1,970 نمطًا مُجمَّعًا إجمالًا). كل قاعدة من تلك القواعد تُختبر لما يجب أن تطابقه، وما يجب أن تستبعده صراحةً (فحص الإيجابيات الكاذبة الذي تتجاهله معظم الأدوات القائمة على regex)، وأنه لا يمكن تعليقها بمدخلات عدائية. انظر tests/README.md للفهرس الكامل، وepic #518 للتدقيق الذي أغلقه — عشرات أخطاء regex الحقيقية التي اكتُشفت وصُححت على طول الطريق، وليس مجرد تغطية نظرية.
2. فرق ذهبي حقيقي مقابل كود إنتاج حقيقي غير معدل. language-crucible لقطة مثبتة وموسومة من ~120 دليلًا فرعيًا حقيقيًا مأخوذة من مشاريع مفتوحة المصدر رئيسية — C++ الخاص بـ Godot، ومترجم Roslyn C#، وcurl، وKubernetes، وبرنامج طيران Apollo 11's AGC، والمزيد — تركت عمدًا منفصلة وغير قابلة للبناء، نفس الحالة العدائية التي تكون عليها المستودعات الحقيقية. كل طلب سحب يلمس محرك التحليل يعيد فحص ذلك المجموع كاملًا ويقارن المخرجات، حقلًا بحقل، مع لقطة مثبتة في المستودع (tests/golden_master_audit.json)؛ وجود فرق يعني أن المخرجات تغيرت على كود حقيقي، ويجب تفسيره قبل قبوله — ليس اختبار دخان، بل مقارنة سيد ذهبي فعلية. انظر لمعرفة كيف يُربط هذا بـ CI بالضبط، و لمعرفة لماذا بُني هذا المجموع بهذه الطريقة.

المعايير

• مستودع اختبار +50 لغة — وهو أيضًا مجموع السيد الذهبي الموصوف أعلاه — والقطع الأثرية
• مخرجات خام على نطاق العالم الحقيقي — مخرجات فحص غير محررة (JSON التدقيق، SQLite، ملخصات LLM) من مئات المستودعات المختارة بشكل مستقل، محفوظة بنسخ مرتبطة بإصدار المحرك
• نتائج السرعة من 104 مستودعات
• مقارنات عبر اللغات لأكثر من 1000 مستودع: مقارنة معيارية حتمية 1:1 لبنى صياغية متميزة.
• النماذج الأصلية العالمية للملفات عبر تجميع k-means: عزل تعلم آلي للملفات في مجموعات K-means.
• هجرة الحواسيب المركزية: نجاح ترجمة 27/27 عبر مستودعات COBOL القديمة: 27 مستودع COBOL قديم متميز (بما في ذلك تطبيقات IBM CICS المرجعية) مترجمة إلى بيئات Java Spring Boot قابلة للبناء.

التبني في العالم الحقيقي

خصوصية البيانات والنشر المحلي

ينفذ GitGalaxy 100% من الفحص والتحويل الشعاعي محليًا — يعمل المحرك بنفس الطريقة معزولًا تمامًا عن الشبكة كما يعمل متصلًا.

• لا نقل للبيانات: لا يُرسل الكود المصدري أبدًا إلى أي API أو قاعدة بيانات سحابية أو خدمة طرف ثالث.
• تنفيذ محلي / معزول عن الشبكة: لا اعتماد شبكي وقت التشغيل — يعمل المحرك بشكل مطابق في بيئة منفصلة تمامًا.
• معالجة ذاكرة مؤقتة (العرض المرئي على الويب): تُفك المستودعات إلى مخزن مؤقت للذاكرة المتطايرة (RAM) وتُطهَّر تلقائيًا عند إغلاق تبويب المتصفح.
• خصوصية بالتصميم: حتى عند استخدام العارض المستند إلى الويب، تبقى البيانات خلف جدار حماية المستخدم في جميع الأوقات.

## التثبيت والاستخدام * مبني على بايثون: `pip install gitgalaxy` * تنفيذ عبر واجهة سطر الأوامر * **[كيفية إضافة لغة برمجة جديدة في طلب واحد](https://github.com/squid-protocol/gitgalaxy/blob/main/gitgalaxy/standards/how_to_add_a_language.md)** * يُخرج ملفات JSON جنائية (محسّنة لتقارير ملخص وكلاء الذكاء الاصطناعي) وقاعدة بيانات SQLite3 أصلية للاستعلام والتخزين بكفاءة.

التكامل مع CI/CD

ضع قالب منصتك مباشرة في خط الأنابيب — كل قالب يُشغّل فحص GitGalaxy ويمكنه إفشال البناء عند تجاوز عتبة المخاطر أو اختراق توقيعات البرمجيات الخبيثة.

### الاستخدام التجاري والمؤسسي
يتطلب تشغيل GitGalaxy في بيئات الشركات، أو قواعد الأكواد المملوكة، أو خطوط أنابيب CI/CD التجارية ترخيصًا مؤسسيًا. ستواجه خطوط أنابيب الشركات غير المرخصة احتكاكًا متعمدًا في التنفيذ، وستؤدي محاولة استخدام مفتاح الطبقة المجانية للمجتمع في بيئة مؤسسية إلى ظهور تحذيرات واضحة بعدم الامتثال في سجلات التدقيق الخاصة بك.

للحصول على مفتاح تجاري لمؤسستك وضمان سجلات امتثال نظيفة، يرجى التواصل على: **[email protected]**