Bandit 高风险安全模式扫描

要解决的具体问题

在 Python 项目迭代中，开发者常不经意间引入高风险安全模式。例如使用 hashlib.md5() 进行弱加密、通过 subprocess 开启 shell=True 拼接外部输入导致命令注入，或使用 pickle.loads() 处理不可信数据。这类漏洞在常规 code review 中极易被忽略，却可能在上线后被利用，成为系统的安全短板。

核心能力与关键步骤

该技能将 Bandit 静态分析工具集成到审查或发布流程中，核心工作流分为三步：

• 扫描源码树：针对本地 Python 源码目录执行深度扫描，提取代码的 AST 语法树。
• 规则匹配：利用 Bandit 内置的黑盒测试规则集，比对常见的反模式。
• 风险报告：输出结构化的告警列表，精确定位引发风险的 文件路径 和 代码行号，并附带修复建议。

适用边界与注意点

本技能侧重于静态规则匹配，主要针对已知的高风险 API 调用模式。它不能替代动态应用安全测试（DAST）或人工渗透测试。此外，扫描结果包含大量提示信息，开发者需结合业务上下文进行甄别，避免产生告警疲劳。对于高度定制化的加密算法或复杂的反序列化逻辑，仍需安全专家进行深度审计。