工具引见

Bandit这款工具能够用来搜索Python代码中常见的平安问题，在检测过程中，Bandit会对每一份Python代码文件停止处置，并构建AST，然后针对每一个AST节点运转相应的检测插件。完成平安扫描之后，Bandit会直接给用户生成检测报告。

工具装置

Bandit运用PyPI来停止分发，倡议广阔用户直接运用pip来装置Bandit。

创立虚拟环境（可选）：

virtualenv bandit-env

装置Bandit：

 

	pip install bandit 



	# Or if you're working with a Python 3 project 



	pip3 install bandit 

运转Bandit：

bandit -r path/to/your/code

用户还能够运用源码文件直接装置Bandit，先从PyPI下载原tarball，然后运转下列命令：

python setup.py install

工具运用

节点树运用样例：

bandit -r ~/your_repos/project

examples/目录遍历运用样例，显现三行内容，并只报告高危问题：

bandit examples/*.py -n 3 –lll

Bandit还可以分离配置参数一同运转，运转下列命令即可运用ShellInjection来对examples目录运转平安扫描：

bandit examples/*.py -p ShellInjection

Bandit还支持运用规范输入形式来扫描指定行数的代码：

cat examples/imports.py | bandit –

运用样例：

基准线

Bandit允许用户指定需求停止比对的基线报告途径：

bandit -b BASELINE

这样能够协助大家疏忽某些已知问题，或者是那些你不以为是问题的“问题”。大家能够运用下列命令生成基线报告：

bandit -f json -o PATH_TO_OUTPUT_FILE

版本控制整合

装置并运用pre-commit，将下列内容添加至代码库的.pre-commit-config.yaml文件中：

 

	repos: 



	-   repo: https://github.com/PyCQA/bandit 



	    rev: '' # Update me! 



	    hooks: 



	- id: bandit 

然后运转pre-commit即可。

扩展Bandit

Bandit允许用户编写和注册扩展以完成自定义检测或格式化（Formatter）功用。Bandit能够从下列两个节点加载插件：

 

	bandit.formatters 



	bandit.plugins 

Formatter需求接纳下列四种输入参数：

 

	result_store:一个bandit.core.BanditResultStore实例 



	file_list:需求扫描检测的文件列表 



	scores:每个文件的扫描评分 



	excluded_files:列表中不需求扫描的文件 

应用bandit.checks来对特定类型的AST节点停止检测扫描：

 

	@bandit.checks('Call') 



	defprohibit_unsafe_deserialization(context): 



	    if 'unsafe_load' incontext.call_function_name_qual: 



	        return bandit.Issue( 



	            severity=bandit.HIGH, 



	            confidence=bandit.HIGH, 



	            text="Unsafe deserializationdetected." 



	        ) 

注册插件时Bandit给用户提供了两个选项：

1、 假如你直接运用了装置工具（setuptools），我们需求在setup调用中添加下列信息：

 

	# Ifyou have an imaginary bson formatter in the bandit_bson module 



	# anda function called `formatter`. 



	entry_points={'bandit.formatters':['bson = bandit_bson:formatter']} 



	# Ora check for using mako templates in bandit_mako that 



	entry_points={'bandit.plugins':['mako = bandit_mako']} 

2、 假如你运用的是pbr，你需求在setup.cfg文件中添加下列信息：

 

	[entry_points] 



	bandit.formatters= 



	    bson= bandit_bson:formatter 



	bandit.plugins= 



	    mako = bandit_mako 

项目地址

参考文档：【最新版本】

Bandit：【GitHub传送门】

破绽提交：【传送门】

答应证协议

本项目遵照Apache开源答应证协议。