pip-audit

pip-audit — это инструмент для сканирования сред Python на наличие пакетов с известными уязвимостями. Он использует базу данных рекомендаций Python Packaging Advisory Database (https://github.com/pypa/advisory-database) через PyPI JSON API в качестве источника отчётов об уязвимостях.

Этот проект поддерживается при участии Trail of Bits при поддержке Google. Это не официальный продукт Google или Trail of Bits.

Содержание

• Возможности
• Установка
  • Сторонние пакеты
  • GitHub Actions
  • Поддержка pre-commit
• Использование
  • Переменные окружения
  • Коды выхода
  • Холостые прогоны
• Примеры
• Устранение неполадок
• Советы и рекомендации
• Модель безопасности
• Лицензирование
• Участие в разработке
• Кодекс поведения

Возможности

• Аудит локальных сред и файлов в стиле requirements
• Поддержка нескольких сервисов уязвимостей (PyPI, OSV)
• Возможность генерации SBOM в формате CycloneDX XML или JSON
• Поддержка автоматического исправления уязвимых зависимостей (--fix)
• Человеко- и машиночитаемые форматы вывода (табличный, Markdown, JSON)
• Бесшовное повторное использование существующих локальных кэшей pip

Установка

pip-audit требует Python 3.10 или новее и может быть установлен напрямую через pip:```bash python -m pip install pip-audit

### Сторонние пакеты

Существует несколько **сторонних** пакетов для `pip-audit`. Матрицы и значки ниже перечисляют некоторые из них:

[![Packaging status](https://repology.org/badge/vertical-allrepos/python:pip-audit.svg)](https://repology.org/project/python:pip-audit/versions)
[![Packaging status](https://repology.org/badge/vertical-allrepos/pip-audit.svg)](https://repology.org/project/pip-audit/versions)
[![Conda - Platform](https://img.shields.io/conda/pn/conda-forge/pip-audit?logo=anaconda&style=flat)][#conda-forge-package]
[![Conda (channel only)](https://img.shields.io/conda/vn/conda-forge/pip-audit?logo=anaconda&style=flat&color=orange)][#conda-forge-package]

[#conda-forge-package]: https://anaconda.org/conda-forge/pip-audit

В частности, `pip-audit` можно установить через `conda`:```bash
conda install -c conda-forge pip-audit

Сторонние пакеты не поддерживаются напрямую этим проектом. Для получения более подробных инструкций по установке обратитесь к документации вашего менеджера пакетов.

GitHub Actions

pip-audit имеет официальное действие GitHub Actions!

Вы можете установить его из GitHub Marketplace или добавить его в ваш CI вручную:```yaml jobs: pip-audit: steps: - uses: pypa/[email protected] with: inputs: requirements.txt

См.
[документацию action](https://github.com/pypa/gh-action-pip-audit/blob/main/README.md)
для получения дополнительных сведений и примеров использования.

### Поддержка `pre-commit`

`pip-audit` имеет поддержку [`pre-commit`](https://pre-commit.com/).

Например, использование `pip-audit` через `pre-commit` для аудита файла зависимостей:```yaml
  - repo: https://github.com/pypa/pip-audit
    rev: v2.10.1
    hooks:
      -   id: pip-audit
          args: ["-r", "requirements.txt"]

ci:
  # Leave pip-audit to only run locally and not in CI
  # pre-commit.ci does not allow network calls
  skip: [pip-audit]

Любые аргументы pip-audit, описанные ниже, могут быть переданы.

Использование

Вы можете запустить pip-audit как отдельную программу или через python -m:```bash pip-audit --help python -m pip_audit --help

<!-- @begin-pip-audit-help@ -->```
usage: pip-audit [-h] [-V] [-l] [-r REQUIREMENT] [--locked] [-f FORMAT]
                 [-s SERVICE] [--osv-url OSV_URL] [-d] [-S]
                 [--desc [{on,off,auto}]] [--aliases [{on,off,auto}]]
                 [--cache-dir CACHE_DIR] [--progress-spinner {on,off}]
                 [--timeout TIMEOUT] [--path PATH] [-v] [--fix]
                 [--require-hashes] [--index-url INDEX_URL]
                 [--extra-index-url URL] [--skip-editable] [--no-deps]
                 [-o FILE] [--ignore-vuln ID] [--disable-pip]
                 [project_path]

audit the Python environment for dependencies with known vulnerabilities

positional arguments:
  project_path          audit a local Python project at the given path
                        (default: None)