oenty123/nexus-security-oss
GitHub: oenty123/nexus-security-oss
完全本地化运行的快速 SAST 静态代码安全分析器，支持 23+ 种语言且代码永不上传云端。
Stars: 0 | Forks: 0
# 🛡️ Nexus Security
**快速、完全本地化的 SAST 分析器，支持 23+ 种语言。你的代码永远不会离开你的设备。**
[](LICENSE)
[]()
[]()
[]()
[Русская версия](README.ru.md)
## 为什么选择 Nexus？
大多数安全扫描器（Snyk, SonarCloud）会将你的代码上传到它们的服务器。**Nexus 完全在你的本地机器上运行** —— 不会向任何地方发送任何数据。这使其非常适合金融科技、医疗保健、国防以及任何在法律上无法将代码提供给第三方的团队。
- 🔒 **100% 本地化** — 无需云服务、无遥测数据、无需账户，可离线工作
- ⚡ **极速** — 使用 regex + AST，而不是繁重的 ML 流水线
- 🌍 **支持 23+ 种语言** — Python, JS/TS, Java, Kotlin, Go, Rust, PHP, C/C++, C#, Ruby, Swift, HTML, CSS 等等
- 🧩 **编辑器集成** — VS Code 扩展和 IntelliJ IDEA 插件
- 🧠 **不仅仅是安全** — 复杂度指标、安全重构、代码解释、文档字符串生成 (Python)
## 它能发现什么
SQL 注入、XSS、命令注入、SSTI、硬编码的机密信息、弱加密、不安全的反序列化、路径遍历、XXE、SSRF 以及更多其他漏洞 — 映射到 **CWE** 和 **OWASP Top 10**。
```
$ python3 cli.py app.py --format json
→ language: python | grade: D | findings: 4
[critical] SSTI — render_template_string with user input (line 12)
[critical] Command Injection — shell=True (line 18)
[high] Hardcoded secret / API key (line 3)
[low] requests without timeout (line 25)
```
## 快速开始
```
git clone https://github.com/oenty123/nexus-security-oss.git
cd nexus-security-oss
python3 install.py # finds Python, verifies the engine, prints your paths
```
安装程序会自动检测一切。然后将你的编辑器插件指向打印出的路径（或者它会自动找到它们）。需要 Python 3.8+。核心引擎无需任何依赖。
更喜欢手动方式？直接运行引擎即可：
```
python3 engine/cli.py path/to/your/file.py
```
## 编辑器插件
- **VS Code** — 安装 `.vsix`，获得内联高亮、快速修复、扫描报告
- **IntelliJ IDEA / WebStorm** — Kotlin 插件，使用 `./gradlew buildPlugin` 构建
请参阅 [`docs/INSTALL.md`](docs/INSTALL.md) 了解设置，以及 [`docs/USAGE.md`](docs/USAGE.md) 了解如何使用编辑器扩展。
## 语言覆盖率
| 等级 | 语言 |
|------|-----------|
| **优秀** | Python, JavaScript, TypeScript |
| **良好** | Java, Kotlin, PHP, HTML, Go, C#, Ruby, Rust, C/C++, Swift |
| **基础** | CSS, SQL, Shell, YAML, Scala, Lua, R, Dart |
Python 会获得最深度的分析（安全 + 复杂度 + 污点 + 重构）。其他语言则获得基于模式的安全规则。对此我们非常坦诚 — 请查看[覆盖率详情](docs/COVERAGE.md)。
## 路线图
- [ ] 内置 Python（零配置安装）
- [ ] CI 集成（GitHub Actions, GitLab CI）
- [ ] 全项目 HTML 报告
- [ ] 更多支持深度分析的语言
## 贡献
添加规则非常简单 — 请参阅 [CONTRIBUTING.md](CONTRIBUTING.md)。特别欢迎新的语言规则和误报报告。
## 许可证
**AGPL-3.0** — 免费使用、学习、修改和分享；网络服务必须公开其源代码。如需闭源/商业用途，可提供单独的许可证 — 请参阅 [COMMERCIAL.md](COMMERCIAL.md)。标签：CISA项目, IDE插件, 插件系统, 本地安全工具, 逆向工具, 静态应用安全测试