foxguard

Быстрое локальное сканирование безопасности для кода, секретов, зависимостей и крипто-рисков.

npx foxguard .

Зачем

•   Более 200 встроенных правил для 12 языков исходного кода, а также проверки конфигураций и манифестов
•   Отслеживание потока данных (taint tracking) для 14 языков с межфайловым анализом для Python, JavaScript, Go, Java, Ruby, PHP, C# и Kotlin
•   Быстрые локальные сканирования и в CI, с режимом diff для «что добавила эта ветка?»
•   Сканирование секретов, сканирование зависимостей на основе OSV и аудит постквантовой криптографии
•   YAML-мост, совместимый с Semgrep/OpenGrep, загружающий ~98% публичного реестра (отчёт о покрытии)
•   Вывод в терминал, JSON, SARIF, CycloneDX 1.6 CBOM и совместимый с Semgrep JSON

Установка

npx foxguard .                                      # без установки
curl -fsSL https://foxguard.dev/install.sh | sh     # предварительно собранный бинарник (macOS/Linux)
cargo install foxguard                              # из исходников

Предварительно собранные установки проверяют бинарники релиза по checksums.txt. Релизные бинарники также публикуют аттестации артефактов GitHub; используйте gh attestation verify для ручной проверки или смотрите происхождение релиза.

GitHub Action:

- uses: 0sec-labs/foxguard/[email protected]
  with:
    path: .
    severity: medium
    fail-on-findings: "true"
    upload-sarif: "true"

pre-commit:

repos:
  - repo: https://github.com/0sec-labs/foxguard
    rev: v0.12.0
    hooks:
      - id: foxguard

Интеграции: GitHub App, VS Code, плагин Claude Code и MCP сервер.

Быстрый старт

foxguard .                              # сканировать всё
foxguard diff main .                    # только новые находки относительно main
foxguard secrets .                      # утёкшие учётные данные и ключи
foxguard sca .                          # уязвимости зависимостей из OSV
foxguard pqc .                          # аудит постквантовой криптографии
foxguard --format sarif . > results.sarif
foxguard --format semgrep-json .        # JSON, совместимый с Semgrep CLI

Покрытие языков

Отслеживание потока данных также работает для C, Bash и Solidity. Сканирование конфигураций, манифестов и внешних правил охватывает Dockerfile, Nginx, Apache, HAProxy, HCL/Terraform, YAML/JSON/XML/HTML, C через Semgrep YAML/Coccinelle и другое.

Режимы безопасности

foxguard sca .
foxguard pqc .
foxguard --rules ./semgrep-rules .

SCA поддерживает Cargo.lock, package-lock.json, pnpm-lock.yaml, requirements.txt, poetry.lock и Pipfile.lock. Аудит PQC — это двусторонняя карта: он помечает квантово-уязвимые примитивы (RSA, ECDSA/DSA, ECDH/DH) со сроками миграции CNSA 2.0, а также обнаруживает уже используемые постквантовые алгоритмы (ML-KEM, ML-DSA, SLH-DSA, FN-DSA, HQC и гибриды, такие как X25519MLKEM768) как информационную, квантово-устойчивую инвентаризацию — с отчётом процента готовности к миграции. Обе стороны экспортируются в CycloneDX 1.6 CBOM, где постквантовые алгоритмы отображаются как квантово-устойчивые активы, а не уязвимости.

Конфигурация

foxguard автоматически находит .foxguard.yml от пути сканирования вверх.

scan:
  baseline: .foxguard/baseline.json
  disable_rules: [py/no-eval]

secrets:
  exclude_paths: [fixtures, testdata]

Подавление принятого результата прямо в коде: // foxguard: ignore[rule-id].

Бенчмарки

Воспроизведите с помощью ./benchmarks/run.sh; результаты зависят от машины. См. benchmarks/README.md.

Вклад в развитие

См. CONTRIBUTING.md о написании правил, тестах и настройке разработки.

Лицензия

MIT OR Apache-2.0 -- 0sec Labs