Pyscan

Pyscan é um scanner de vulnerabilidades altamente concorrente escrito em Rust. Ele percorre automaticamente seu projeto Python, extrai dependências em vários formatos de empacotamento e as cruza com o banco de dados Open Source Vulnerabilities (OSV) em uma única solicitação assíncrona em lote.

O Pyscan foi projetado para resolver os gargalos de desempenho e memória das ferramentas de segurança tradicionais baseadas em Python:

• Ganhos de desempenho: Alcança até 5,25x de aceleração em relação a ferramentas padrão da indústria como pip-audit e safety em conjuntos de dados médios a grandes. O tempo de execução do Pyscan opera em um modelo de complexidade de tempo $O(\text{vulns})$; o tempo de execução escala com o número de vulnerabilidades encontradas, não com o número de dependências que você possui.
• Pegada de memória plana: O uso de memória do Pyscan permanece completamente plano (~45 MB) esteja você escaneando 15 dependências ou mais de 700. Muito sólido para pipelines de CI/CD com restrição de memória.
• Suporte universal: Resolve e extrai automaticamente dependências de SBOMs (CycloneDX, SPDX), uv.lock, requirements.txt, pyproject.toml (Poetry, Hatch, PDM, Flit) ou dinamicamente analisando seu código-fonte .py bruto.
• Análise de alcançabilidade: O Pyscan vai além da análise estática de manifesto. Ele usa heurísticas para escanear seu código-fonte, localizando e destacando exatamente onde uma dependência vulnerável é importada, fornecendo contexto instantâneo para correção.

Leia o mergulho profundo no Relatório de Benchmarks.

Instalação

Você pode instalar o Pyscan via pipx, pip (wheel Python compilado) ou cargo (binário nativo Rust):

# via pipx (recomendado) (Observe o sufixo "-rs")
pipx install pyscan-rs

# via pip (Observe o sufixo "-rs") 
pip install pyscan-rs

# via Cargo
cargo install pyscan

Uso

Basta executar pyscan no diretório raiz do seu projeto, ou apontá-lo para uma pasta de origem específica:

# Escaneie o diretório atual
pyscan

# Escaneie um diretório específico
pyscan -d path/to/src

Precedência de Resolução de Dependências

Se vários arquivos de origem estiverem presentes, o Pyscan extrai dependências seguindo esta cadeia de prioridade:

1. SBOMs (bom.json, spdx.json)
2. uv.lock
3. requirements.txt
4. pyproject.toml
5. Código-fonte bruto (.py)

O Pyscan recorrerá à consulta do PyPI pela versão mais recente se uma dependência for encontrada sem uma versão estritamente fixada, embora seguir a sintaxe PEP-508 seja altamente recomendado.

Construção e Arquitetura

O Pyscan requer um toolchain Rust >= v1.70 e utiliza rede assíncrona via reqwest e tokio para paralelizar consultas OSV e maximizar a taxa de transferência. Se você estiver interessado em como o analisador e o scanner são estruturados, confira a Visão Geral da Arquitetura.

Aviso Legal

O Pyscan é uma ferramenta altamente otimizada, mas ainda não foi testada em todos os casos extremos. Ela não garante que seu código esteja 100% seguro contra todos os vetores. Recomendo fortemente o uso de uma abordagem de segurança em camadas junto com ferramentas como Dependabot, pip-audit ou Trivy. PRs e issues são calorosamente bem-vindos!

Roadmap (a partir de abril de 2026)

• Adicionar suporte a SBOM CycloneDX e SPDX.
• Representação de estado persistente da postura de segurança de um projeto.
• Análise gráfica DAG de dependências transitivas.
• Análise de alcançabilidade melhorada para imports profundamente aninhados.

Doar

Comecei este projeto quando era um estudante do ensino médio sem dinheiro, e agora sou um estudante universitário sem dinheiro. Se o Pyscan economizou algum tempo precioso e RAM em seus pipelines de CI/CD, considere me pagar um café: