面向现代应用的全方位安全扫描
安装说明 •
快速开始 •
功能特性 •
参与贡献
## 概述
**SecurityUse** 是一个统一的Python应用程序安全扫描平台。它能检测依赖中的漏洞、基础设施即代码中的错误配置，并为Web应用程序提供运行时攻击检测能力。
```
$ security-use scan all ./my-project
SecurityUse v0.2.9
Scanning dependencies...
✓ Found 3 vulnerabilities in 47 packages
Scanning IaC files...
✓ Found 2 misconfigurations in 5 files
┌─────────────────────────────────────────────────────────────────┐
│ CRITICAL 1 │ HIGH 2 │ MEDIUM 2 │ LOW 0 │
└─────────────────────────────────────────────────────────────────┘
Results synced to dashboard (5 finding(s))
```
## 功能特性
### 依赖漏洞扫描
使用 [OSV数据库](https://osv.dev/) 检测Python依赖中的已知CVE漏洞。
### 基础设施即代码扫描
在生产环境部署前发现安全配置错误。
| 平台 | 格式 | 规则数量 |
|----------|---------|-------|
| **Terraform** | `.tf`, `.tf.json` | 25+ |
| **CloudFormation** | `.yaml`, `.yml`, `.json` | 20+ |
| **AWS** | S3, EC2, IAM, RDS, Lambda | 完整覆盖 |
**检测范围：**
- 未加密的存储和数据库
- 权限过于宽泛的IAM策略
- 对敏感资源的公开访问
- 缺失的日志记录和监控
- 不安全的网络配置
### 运行时安全传感器
为FastAPI和Flask应用提供的实时攻击检测中间件，可集成仪表盘。
```
from fastapi import FastAPI
from security_use.sensor import SecurityMiddleware
app = FastAPI()
# 仪表板集成（推荐）
app.add_middleware(
SecurityMiddleware,
api_key="su_...", # Or set SECURITY_USE_API_KEY env var
block_on_detection=True,
)
# 从代码分析自动检测漏洞端点
app.add_middleware(
SecurityMiddleware,
auto_detect_vulnerable=True,
project_path="./",
)
# 选择性路径监控
app.add_middleware(
SecurityMiddleware,
watch_paths=["/api/users", "/api/search", "/admin/*"],
excluded_paths=["/health", "/metrics"],
)
```
**检测类型：**
- SQL注入（`' OR 1=1--`、`UNION SELECT`等）
- 跨站脚本（`