foxguard

Schnelles lokales Sicherheitsscannen für Code, Geheimnisse, Abhängigkeiten und Krypto-Risiken.

npx foxguard .

Warum

•   Über 200 integrierte Regeln für 12 Quellsprachen, plus Konfigurations- und Manifest-Prüfungen
•   Taint-Tracking für 14 Sprachen, mit dateiübergreifender Analyse für Python, JavaScript, Go, Java, Ruby, PHP, C# und Kotlin
•   Schnelle lokale und CI-Scans, mit Diff-Modus für „Was hat dieser Branch hinzugefügt?“
•   Geheimnis-Scanning, OSV-gestütztes Abhängigkeits-Scanning und Post-Quanten-Krypto-Audit
•   Semgrep/OpenGrep-kompatible YAML-Brücke, die ~98 % des öffentlichen Registry lädt (Abdeckungsbericht)
•   Terminal-, JSON-, SARIF-, CycloneDX 1.6 CBOM- und Semgrep-kompatible JSON-Ausgabe

Installation

npx foxguard .                                      # keine Installation
curl -fsSL https://foxguard.dev/install.sh | sh     # vorkompiliertes Binär (macOS/Linux)
cargo install foxguard                              # aus dem Quellcode

Vorkompilierte Installationen überprüfen Release-Binärdateien anhand von checksums.txt. Release-Binärdateien veröffentlichen auch GitHub-Artefaktattestierungen; verwenden Sie gh attestation verify zur manuellen Überprüfung, oder siehe Release-Herkunftsnachweis.

GitHub-Aktion:

- uses: 0sec-labs/foxguard/[email protected]
  with:
    path: .
    severity: medium
    fail-on-findings: "true"
    upload-sarif: "true"

pre-commit:

repos:
  - repo: https://github.com/0sec-labs/foxguard
    rev: v0.12.0
    hooks:
      - id: foxguard

Integrationen: GitHub App, VS Code, Claude Code Plugin und MCP-Server.

Schnellstart

foxguard .                              # alles scannen
foxguard diff main .                    # nur neue Funde im Vergleich zu main
foxguard secrets .                      # geleakte Anmeldeinformationen und Schlüssel
foxguard sca .                          # Abhängigkeits-Schwachstellen von OSV
foxguard pqc .                          # Post-Quanten-Krypto-Audit
foxguard --format sarif . > results.sarif
foxguard --format semgrep-json .        # Semgrep CLI-kompatibles JSON

Sprachabdeckung

Taint-Tracking deckt auch C, Bash und Solidity ab. Konfigurations-, Manifest- und externe Regel-Scans decken Dockerfile, Nginx, Apache, HAProxy, HCL/Terraform, YAML/JSON/XML/HTML, C über Semgrep YAML/Coccinelle und mehr ab.

Sicherheitsmodi

foxguard sca .
foxguard pqc .
foxguard --rules ./semgrep-rules .

SCA unterstützt Cargo.lock, package-lock.json, pnpm-lock.yaml, requirements.txt, poetry.lock und Pipfile.lock. Das PQC-Audit ist eine zweiseitige Bewertung: Es kennzeichnet quantenschwache Primitive (RSA, ECDSA/DSA, ECDH/DH) mit CNSA 2.0-Migrationsfristen und erkennt auch bereits verwendete Post-Quanten-Algorithmen (ML-KEM, ML-DSA, SLH-DSA, FN-DSA, HQC und Hybride wie X25519MLKEM768) als informatives, quantenresistentes Inventar – mit einer Migrationsbereitschafts-Prozentzahl. Beide Seiten exportieren in ein CycloneDX 1.6 CBOM, wobei Post-Quanten-Algorithmen als quantenresistente Vermögenswerte und nicht als Schwachstellen erscheinen.

Konfiguration

foxguard findet .foxguard.yml automatisch vom Scan-Pfad aufwärts.

scan:
  baseline: .foxguard/baseline.json
  disable_rules: [py/no-eval]

secrets:
  exclude_paths: [fixtures, testdata]

Unterdrücken Sie einen akzeptierten Fund inline mit // foxguard: ignore[rule-id].

Benchmarks

Reproduzieren mit ./benchmarks/run.sh; Ergebnisse variieren je nach Maschine. Siehe benchmarks/README.md.

Mitwirken

Siehe CONTRIBUTING.md zum Erstellen von Regeln, Tests und Entwicklungsumgebung.

Lizenz

MIT ODER Apache-2.0 – 0sec Labs