Semgrep — инструмент статического анализа, который проверяет исходный код по готовым наборам правил.
Для аудита проекта можно запустить:
«`bash
semgrep —config=p/security-audit —config=p/secrets . —output results.json —json
«`
Команда рекурсивно анализирует текущую директорию и сохраняет результаты в JSON. Набор `p/security-audit` ищет SQL-инъекции, XSS, небезопасную десериализацию и учётные данные в коде. `p/secrets` обнаруживает токены, ключи и пароли, включая ключи AWS, Slack и GitHub.
Для быстрого просмотра критичных находок без JSON:
«`bash
semgrep —config=p/security-audit . —severity=ERROR
«`
Сайт проекта: https://semgrep.dev/
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.