pip-audit

pip-audit es una herramienta para escanear entornos Python en busca de paquetes con vulnerabilidades conocidas. Utiliza la Base de Datos de Asesoramiento de Empaquetado de Python (https://github.com/pypa/advisory-database) a través de la API JSON de PyPI como fuente de informes de vulnerabilidades.

Este proyecto es mantenido en parte por Trail of Bits con el apoyo de Google. Esto no es un producto oficial de Google ni de Trail of Bits.

Índice

• Características
• Instalación
  • Paquetes de terceros
  • Acciones de GitHub
  • Soporte para pre-commit
• Uso
  • Variables de entorno
  • Códigos de salida
  • Ejecuciones de prueba
• Ejemplos
• Solución de problemas
• Consejos y trucos
• Modelo de seguridad
• Licencia
• Contribuir
• Código de conducta

Características

• Soporte para auditar entornos locales y archivos de estilo requisitos
• Soporte para múltiples servicios de vulnerabilidades (PyPI, OSV)
• Soporte para emitir SBOMs en CycloneDX XML o JSON
• Soporte para corregir automáticamente dependencias vulnerables (--fix)
• Formatos de salida legibles por humanos y por máquina (columnar, Markdown, JSON)
• Reutiliza sin problemas sus cachés locales existentes de pip

Instalación

pip-audit requiere Python 3.10 o superior, y se puede instalar directamente mediante pip:```bash python -m pip install pip-audit

### Paquetes de terceros

Existen múltiples paquetes **de terceros** para `pip-audit`. Las matrices e insignias a continuación listan algunos de ellos:

[![Estado del empaquetado](https://repology.org/badge/vertical-allrepos/python:pip-audit.svg)](https://repology.org/project/python:pip-audit/versions)
[![Estado del empaquetado](https://repology.org/badge/vertical-allrepos/pip-audit.svg)](https://repology.org/project/pip-audit/versions)
[![Conda - Plataforma](https://img.shields.io/conda/pn/conda-forge/pip-audit?logo=anaconda&style=flat)][#conda-forge-package]
[![Conda (solo canal)](https://img.shields.io/conda/vn/conda-forge/pip-audit?logo=anaconda&style=flat&color=orange)][#conda-forge-package]

[#conda-forge-package]: https://anaconda.org/conda-forge/pip-audit

En particular, `pip-audit` puede instalarse mediante `conda`:```bash
conda install -c conda-forge pip-audit

Los paquetes de terceros no son compatibles directamente con este proyecto. Consulte la documentación de su gestor de paquetes para obtener instrucciones de instalación más detalladas.

GitHub Actions

pip-audit tiene una Acción de GitHub oficial!

Puede instalarla desde el Marketplace de GitHub, o agregarla manualmente a su CI:```yaml jobs: pip-audit: steps: - uses: pypa/[email protected] with: inputs: requirements.txt

Consulte la
[documentación de la acción](https://github.com/pypa/gh-action-pip-audit/blob/main/README.md)
para más detalles y ejemplos de uso.

### Soporte de `pre-commit`

`pip-audit` tiene soporte para [`pre-commit`](https://pre-commit.com/).

Por ejemplo, usando `pip-audit` a través de `pre-commit` para auditar un archivo de requisitos:```yaml
  - repo: https://github.com/pypa/pip-audit
    rev: v2.10.1
    hooks:
      -   id: pip-audit
          args: ["-r", "requirements.txt"]

ci:
  # Leave pip-audit to only run locally and not in CI
  # pre-commit.ci does not allow network calls
  skip: [pip-audit]

Cualquier argumento de pip-audit documentado a continuación puede ser pasado.

Uso

Puede ejecutar pip-audit como un programa independiente, o mediante python -m:```bash pip-audit --help python -m pip_audit --help

<!-- @begin-pip-audit-help@ -->```
usage: pip-audit [-h] [-V] [-l] [-r REQUIREMENT] [--locked] [-f FORMAT]
                 [-s SERVICE] [--osv-url OSV_URL] [-d] [-S]
                 [--desc [{on,off,auto}]] [--aliases [{on,off,auto}]]
                 [--cache-dir CACHE_DIR] [--progress-spinner {on,off}]
                 [--timeout TIMEOUT] [--path PATH] [-v] [--fix]
                 [--require-hashes] [--index-url INDEX_URL]
                 [--extra-index-url URL] [--skip-editable] [--no-deps]
                 [-o FILE] [--ignore-vuln ID] [--disable-pip]
                 [project_path]

audit the Python environment for dependencies with known vulnerabilities

positional arguments:
  project_path          audit a local Python project at the given path
                        (default: None)