校对:soup

目录

• 概览
• 更新图案
• 更新盗版
• 发展
• 维护者的注释

概览

使用 Python 安全插件 强盗 二进制. 使用CLI执行战略 -- -- 产卵 bandit 从管理中的 Python venv 从 spawnTool() 并分析它的 JSON 输出.

更新图案

# Re-fetch pattern metadata from the Codacy API
pnpm prefetch

# Commit the result
git add src/patterns.json

模式 ID 遵循格式 Bandit_B602, (中文(简体) ), Bandit_B301等 (中文(简体) ).

更新盗版

1. 更新 preferredVersion 内 src/adapter.ts
2. 更新 PIP_PACKAGES 带有新被绑定版本的阵列
3. 运行 pnpm prefetch 以检查新的/撤消的规则
4. 运行 pnpm test 以验证兼容性
5. 如果主要版本更改,请创建新的适配软件包(bandit-2/(中文(简体) )

发展

pnpm build    # Build with tsup
pnpm test     # Run tests (requires bandit in PATH or venv)

在当地安装用于测试的强盗:

pip install bandit==1.8.3

维护者的注释

• 预设绘图src/pattern-mappings.json(中文(简体) ):78张支票中有18张是门上的 检测到PyPI的依赖性,因为他们只向一个库的API开火. 10个 默认操作,现在不要使用不声明库的回购 B201 (弗拉克语), B701 (静嘉二), B702 (马科语), B601 (帕拉米科语), B320编号 :B410 (lxml), (英语), B506 (PyYAML), (英语:, B113编号 :B501 (请求)和 B308 (干戈语). 8起违约,现已可达 完全没有: B610编号 :B611编号 :B703 (Django SQLi/XSS), (中文(简体) ), B507 (帕拉米科主机密钥), B508编号 :B509 (中文(简体) ), B413编号 :B414 (PyCrypto vs. PyCryptodome—— 单独的项目,所以分开) 实体)。 故意左传:stdlib检查(B301– 说吧 –B307, (中文(简体) ), B324和 B412, (中文(简体) ), 其 httpoxy CGI 处理器无法读取 .

  其中两个需要第二个钥匙 因为Gating从 直接 只声明:

  • B701 索赔人 flask 以及 jinja2. Flask 硬性依赖于 Jinja2 (单位:千美元)Flask → jinja2>=3.1.2)),所以真正的"Flask"应用通常从不列出Jinja2本身,并且 欢呼吧 jinja2 单从大多数Flask回放中 放弃了高度自动逃生检查.
  • B501 索赔人 httpx 以及 requests强盗自己 crypto_request_no_cert_validation 插件检查两个库, 所以只检查 httpx repo 否则会失去 verify=False 检查.

  其中三道门是惰性的 故意还是留着数字 : B320, (中文(简体) ), B410 (lxml) 和 (lxml) 和 B414 (pycryptodome)仍然在科达西的图案目录中,但"盗匪"已经不再存在1.8.3 登记支票,让他们永远不能开火blacklists/calls.py:"滑倒了B320作为 请检查lxml.etree的呼叫已被删除" ; blacklists/imports.py: 对 B410· ; B414 仅仅是缺席 gen_blacklist()) (中文(简体) ). mapping-drift.test.ts 无法看见 这个——它比较了科达西的目录,而不是被安装的工具. 丢弃绘图 将三种默认的高/安全模式再次普遍化并写入每个 Python Repo的相貌,所以大门是小于邪恶的,直到目录赶上. 见 docs/tech-debt.md。 。 。 .

• 土匪需要Python 3作为跑步时间. 适配器使用孤立的阴道 ~/.codacy/runtimes/bandit-1/venv/。 。 。 .

• 退出代码0=无发现,1=发现(正常), >1=出错.

• col_offset 在"盗版"中输出为0;适配器为"1""问题"模型添加了1.

• 强盗 issue_confidence (LOW/MEDIUM/HH)关于该问题的地图至数字置信度(1/2/3).

• CWE 信息来自 issue_cwe 随函附上问题信息如下: (CWE-{id})。 。 。 .

• 配置文件检测支持 .bandit (INI,通过与 --ini, (中文(简体) ), bandit.yml (YAML,通过与 -c),以及 pyproject.toml (TOML,通过 -c) (中文(简体) ).

• 模式过滤使用 -t 将逗号分离的测试ID传递给强盗.

• 这个 errors 匪帮 JSON 输出中的数组( 文件级错误, 如语法错误) 被映射到 AnalysisError 对象带有“警告”级别.