Pyscan

Pyscan 是一个用 Rust 编写的高并发漏洞扫描器。它能自动遍历你的 Python 项目，提取各种打包格式的依赖项，并通过一次异步批量请求，将它们与 开源漏洞 (OSV) 数据库进行交叉比对。

Pyscan 旨在解决传统 Python 安全工具的性能和内存瓶颈：

• 性能提升： 在中等至大型数据集上，相比 pip-audit 和 safety 等行业标准工具，可实现高达 5.25 倍的加速。Pyscan 的运行时基于 $O(\text{vulns})$ 时间复杂度模型，执行时间随发现的漏洞数量扩展，而不是 依赖项数量。
• 稳定内存占用： 无论扫描 15 个还是 700 多个依赖项，Pyscan 的内存使用量始终保持平稳（约 45MB）。对于内存受限的 CI/CD 管道来说非常稳健。
• 通用支持： 自动从 SBOM（CycloneDX、SPDX）、uv.lock、requirements.txt、pyproject.toml（Poetry、Hatch、PDM、Flit）中解析并提取依赖项，或通过解析你的原始 .py 源代码动态提取。
• 可达性分析： Pyscan 超越了静态清单解析。它使用启发式方法扫描你的源代码，定位并高亮显示有漏洞依赖项的具体导入位置，为修复提供即时上下文。

详情请阅读基准测试报告。

安装

你可以通过 pipx、pip（编译后的 Python wheel）或 cargo（原生 Rust 二进制文件）安装 Pyscan：

# 通过 pipx（推荐）（注意 "-rs" 后缀）
pipx install pyscan-rs

# 通过 pip（注意 "-rs" 后缀）
pip install pyscan-rs

# 通过 Cargo
cargo install pyscan

用法

只需在项目根目录运行 pyscan，或指定一个特定的源代码文件夹：

# 扫描当前目录
pyscan

# 扫描指定目录
pyscan -d path/to/src

依赖项解析优先级

如果存在多个源文件，Pyscan 会按以下优先级链提取依赖项：

1. SBOM（bom.json、spdx.json）
2. uv.lock
3. requirements.txt
4. pyproject.toml
5. 原始源代码（.py）

如果找到的依赖项没有严格锁定版本，Pyscan 会回退到查询 PyPI 以获取最新版本，但强烈建议遵循 PEP-508 语法。

构建与架构

Pyscan 需要 Rust 工具链 >= v1.70，并利用基于 reqwest 和 tokio 的异步网络来并行化 OSV 查询，最大化吞吐量。如果你对解析器和扫描器的结构感兴趣，请查看架构概述。

免责声明

Pyscan 是一个高度优化的工具，但尚未在所有边缘情况下经过真实环境考验。它不能保证你的代码 100% 免受所有向量的攻击。我强烈建议采用分层安全方法，并配合 Dependabot、pip-audit 或 Trivy 等工具。欢迎提交 PR 和 issue！

路线图（截至 2026 年 4 月）

• 添加 CycloneDX 和 SPDX SBOM 支持。
• 项目安全态势的持久状态表示。
• 传递依赖关系的图形化 DAG 分析。
• 针对深层嵌套导入的改进可达性分析。

捐赠

我启动这个项目时还是个身无分文的高中生，现在我是个身无分文的大学生。如果 Pyscan 为你的 CI/CD 管道节省了宝贵的时间和内存，请考虑请我喝杯咖啡：