pip-audit

pip-audit è uno strumento per scansionare ambienti Python alla ricerca di pacchetti con vulnerabilità note. Utilizza il Python Packaging Advisory Database (https://github.com/pypa/advisory-database) tramite l'API JSON di PyPI come fonte di report di vulnerabilità.

Questo progetto è mantenuto in parte da Trail of Bits con il supporto di Google. Questo non è un prodotto ufficiale di Google o Trail of Bits.

Indice

• Funzionalità
• Installazione
  • Pacchetti di terze parti
  • GitHub Actions
  • pre-commit supporto
• Utilizzo
  • Variabili d'ambiente
  • Codici di uscita
  • Simulazioni
• Esempi
• Risoluzione dei problemi
• Suggerimenti e trucchi
• Modello di sicurezza
• Licenze
• Contribuire
• Codice di condotta

Funzionalità

• Supporto per l'audit di ambienti locali e file in formato requirements
• Supporto per molteplici servizi di vulnerabilità (PyPI, OSV)
• Supporto per l'emissione di SBOM in XML o JSON CycloneDX
• Supporto per la correzione automatica delle dipendenze vulnerabili (--fix)
• Formati di output leggibili da umani e macchine (a colonne, Markdown, JSON)
• Riutilizza senza problemi le tue cache locali di pip

Installazione

pip-audit richiede Python 3.10 o successivo e può essere installato direttamente tramite pip:```bash python -m pip install pip-audit

### Pacchetti di terze parti

Ci sono diversi pacchetti **di terze parti** per `pip-audit`. Le matrici e i badge sottostanti elencano alcuni di essi:

[![Packaging status](https://repology.org/badge/vertical-allrepos/python:pip-audit.svg)](https://repology.org/project/python:pip-audit/versions)
[![Packaging status](https://repology.org/badge/vertical-allrepos/pip-audit.svg)](https://repology.org/project/pip-audit/versions)
[![Conda - Platform](https://img.shields.io/conda/pn/conda-forge/pip-audit?logo=anaconda&style=flat)][#conda-forge-package]
[![Conda (channel only)](https://img.shields.io/conda/vn/conda-forge/pip-audit?logo=anaconda&style=flat&color=orange)][#conda-forge-package]

[#conda-forge-package]: https://anaconda.org/conda-forge/pip-audit

In particolare, `pip-audit` può essere installato tramite `conda`:```bash
conda install -c conda-forge pip-audit

I pacchetti di terze parti non sono supportati direttamente da questo progetto. Consulta la documentazione del tuo gestore di pacchetti per una guida all'installazione più dettagliata.

GitHub Actions

pip-audit ha una GitHub Action ufficiale!

Puoi installarla dal GitHub Marketplace, o aggiungerla manualmente alla tua CI:```yaml jobs: pip-audit: steps: - uses: pypa/[email protected] with: inputs: requirements.txt

Vedi la
[documentazione dell'azione](https://github.com/pypa/gh-action-pip-audit/blob/main/README.md)
per maggiori dettagli ed esempi di utilizzo.

### Supporto di `pre-commit`

`pip-audit` supporta [`pre-commit`](https://pre-commit.com/).

Ad esempio, utilizzando `pip-audit` tramite `pre-commit` per verificare un file dei requisiti:```yaml
  - repo: https://github.com/pypa/pip-audit
    rev: v2.10.1
    hooks:
      -   id: pip-audit
          args: ["-r", "requirements.txt"]

ci:
  # Leave pip-audit to only run locally and not in CI
  # pre-commit.ci does not allow network calls
  skip: [pip-audit]

Tutti gli argomenti di pip-audit documentati di seguito possono essere passati.

Utilizzo

Puoi eseguire pip-audit come programma autonomo, o tramite python -m:```bash pip-audit --help python -m pip_audit --help

<!-- @begin-pip-audit-help@ -->```
usage: pip-audit [-h] [-V] [-l] [-r REQUIREMENT] [--locked] [-f FORMAT]
                 [-s SERVICE] [--osv-url OSV_URL] [-d] [-S]
                 [--desc [{on,off,auto}]] [--aliases [{on,off,auto}]]
                 [--cache-dir CACHE_DIR] [--progress-spinner {on,off}]
                 [--timeout TIMEOUT] [--path PATH] [-v] [--fix]
                 [--require-hashes] [--index-url INDEX_URL]
                 [--extra-index-url URL] [--skip-editable] [--no-deps]
                 [-o FILE] [--ignore-vuln ID] [--disable-pip]
                 [project_path]

audit the Python environment for dependencies with known vulnerabilities

positional arguments:
  project_path          audit a local Python project at the given path
                        (default: None)