CanoP CLI

Ein schnelles, eigenständiges Tool zur statischen Analyse, mit dem sich Sicherheitsrisiken in KI-generiertem Code aufspüren lassen. CanoP läuft lokal und liefert umsetzbare Befunde mit Hinweisen zur Behebung.

CanoP in Aktion

Funktionen

• Hohes Signal-Rausch-Verhältnis: Zielgerichtet auf Risiken der KI-Ära wie SQL-Injection, unsichere Reflection und fest codierte Secrets.
• Sprachunterstützung: Unterstützt Python und JavaScript.
• CI/CD-fähig: Builds lassen sich anhand der Schwere oder des Sicherheits-Scores freigeben oder blockieren.
• KI-Rezepturen: Erzeugt fixes.json-Prompts für LLM-gestützte Behebung.
• Standardberichte: Exportiert JSON und SARIF für GitHub und andere Sicherheitstools.

Installation

pip install canop

Unter macOS und Linux verwende pipx, falls eine globale pip-Installation eingeschränkt ist:

pipx install canop

Überprüfe die Installation:

canop --version

Schnellstart

Initialisiere .canop.yml und .canopignore:

canop init

Scanne das aktuelle Verzeichnis oder nur die in Git geänderten Dateien:

canop scan .
canop scan . --changed

Die Anzahl der Befunde ist standardmäßig auf 50 begrenzt. Verwende --all für keine Begrenzung oder --limit N für eine eigene Obergrenze:

canop scan . --all
canop scan . --limit 10

Erweiterte Nutzung

CI/CD

Diese Optionen liefern einen Exit-Code ungleich null zurück, wenn der Schwellenwert nicht erreicht wird:

canop scan . --fail-on HIGH
canop scan . --min-score 85

Ergebnisse exportieren

canop scan . --json-out results.json
canop scan . --sarif results.sarif
canop scan . --prescriptions fixes.json

Die SARIF-Ausgabe kann zu GitHub hochgeladen werden, um Befunde inline anzuzeigen. fixes.json enthält Prompts für die LLM-gestützte Behebung.

Konfiguration

Füge .canop.yml im Projektstamm hinzu, um Richtlinien-Schwellenwerte und ignorierte Pfade festzulegen:

min_grade: B
fail_on:
  - CRITICAL
  - HIGH
ignore:
  - "tests/**"
  - "docs/**"
max_findings: 0

.canopignore verwendet Muster im Stil von .gitignore, um Dateien und Verzeichnisse auszuschließen.

So funktioniert die Erkennung

CanoP lädt Regeln aus canop/rules/*.yml und scannt lokal mit seiner integrierten Pattern-Engine. Secret-Regeln prüfen Kommentare, um Zugangsdaten aufzuspüren, die von KI-Coding-Agenten versehentlich im Frontend-Quellcode hinterlassen wurden; andere Regeln ignorieren reine Kommentarzeilen, um Rauschen zu reduzieren. Falls installiert, ergänzt Semgrep eine AST-basierte Analyse. Es ist optional und wird nicht mit CanoP installiert.

Lokale Entwicklung

git clone https://github.com/openbreach/CanoP.git canop
cd canop
pip install -e .
python -m unittest discover -s tests -v

Erstelle Distributionsartefakte mit:

pip install -r requirements-dev.txt
python -m build

Regelentwicklung

Regeln verwenden das Semgrep-YAML-Format und liegen in canop/rules/*.yml. Richtlinien findest du in CONTRIBUTING.md.

Support

Für Fehler und Funktionswünsche öffne ein GitHub-Issue oder schreibe eine E-Mail an [email protected].

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert.