Lanalyzer

🚀 Lanalyzer

Lanalyzerは、Pythonプロジェクトの潜在的なセキュリティ脆弱性を検出するために設計された高度なPython静的汚染解析ツールです。信頼できないソース（Sources）から敏感な操作（Sinks）へのデータフローを特定し、潜在的なリスクに関する詳細な洞察を提供します。

:book:言語選択： English • 中文

🚀 クイックスタート

前提条件

• Python 3.10以上
• uv（依存関係管理に推奨）

手順

1. リポジトリをクローンします：

   git clone https://github.com/bayuncao/lanalyzer.git
   cd lanalyzer
   

2. 仮想環境を作成し、依存関係をインストールします：

   uv venv
   uv pip sync pyproject.toml --all-extras
   

3. 仮想環境をアクティブ化します：

   source .venv/bin/activate
   

✨ 主な機能

• 汚染解析：ソースからシンクへのデータフローを追跡します。
• カスタマイズ可能なルール：独自のソース、シンク、サニタイザー、および汚染伝播パスを定義できます。
• 静的解析：コードを実行する必要がありません。
• 拡張性：SQLインジェクション、XSSなどの脆弱性を検出するための新しいルールを簡単に追加できます。
• 詳細なレポート：脆弱性の詳細と緩和策の提案を含む包括的な解析レポートを生成します。
• コマンドラインインターフェイス：ターミナルから直接解析を実行できます。

💻 使用例

基本的な使用法

Pythonファイルに対して汚染解析を実行します：

lanalyzer --target <target_file> --config <config_file> --pretty --output <output_file> --log-file <log_file> --debug

コマンドラインオプション

• --target：解析対象のPythonファイルまたはディレクトリのパス。
• --config：設定ファイルのパス。
• --output：解析レポートを保存するパス。
• --log-file：ログファイルを保存するパス。
• --pretty：出力を整形表示します。
• --detailed：詳細な解析統計を表示します。
• --debug：詳細なログを含むデバッグモードを有効にします。

例

lanalyzer --target example.py --config rules/sql_injection.json --pretty --output example_analysis.json --log-file example_analysis.log --debug

🧩 モデルコンテキストプロトコル (MCP) サポート

Lanalyzerは現在、モデルコンテキストプロトコル (MCP) をサポートしており、AIモデルやツールが標準インターフェイスを通じて汚染解析機能にアクセスできるMCPサーバーとして実行できます。

MCP依存関係のインストール

pipを使用する場合：

pip install "lanalyzer[mcp]"

uvを使用する場合：

uv pip install -e ".[mcp]"

MCPサーバーの起動

MCPサーバーを起動する方法は複数あります：

1. Pythonモジュールを使用する：

# ヘルプ情報を表示
python -m lanalyzer.mcp --help

# サーバーを起動
python -m lanalyzer.mcp run --host 0.0.0.0 --port 8000 --debug

2. lanalyzerコマンドラインツールを使用する：

# ヘルプ情報を表示
lanalyzer mcp --help

# サーバーを起動
lanalyzer mcp run --host 0.0.0.0 --port 8000 --debug

# FastMCP開発モードを使用する（該当する場合、このコマンドを検証する）
# lanalyzer mcp dev

MCPサーバーの機能

MCPサーバーは以下の核心機能を提供します：

1. コード解析：Pythonコード文字列のセキュリティ脆弱性を解析します。
2. ファイル解析：特定のファイルのセキュリティ脆弱性を解析します。
3. パス解析：ディレクトリ全体またはプロジェクトのセキュリティ脆弱性を解析します。
4. 脆弱性説明：発見された脆弱性の詳細な説明を提供します。
5. 設定管理：解析設定の取得、検証、および作成を行います。

AIツールとの統合

MCPサーバーは、MCPプロトコルをサポートするAIツールと統合できます：

# FastMCPクライアントを使用
from fastmcp import FastMCPClient

# サーバーに接続するクライアントを作成
client = FastMCPClient("http://127.0.0.1:8000")

# コードを解析
result = client.call({
    "type": "analyze_code",
    "code": "user_input = input()\nquery = f\"SELECT * FROM users WHERE name = '{user_input}'\"",
    "file_path": "example.py",
    "config_path": "/path/to/config.json"
})

# 解析結果を出力
print(result)

Cursorでの使用

Cursorエディタで作業している場合、AIに直接Lanalyzerを使用してコードを解析するように依頼できます：

Please use lanalyzer to analyze the current file for security vulnerabilities and explain the potential risks.

MCPコマンドラインオプション

MCPサーバーは以下のコマンドラインオプションをサポートします：

• --debug：詳細なログを含むデバッグモードを有効にします。
• --host：サーバーのリスニングアドレスを設定します（デフォルト：127.0.0.1）。
• --port：サーバーのリスニングポートを設定します（デフォルト：8000）。

高度なMCPの使用法

カスタム設定

get_config、validate_config、およびcreate_configツールを使用して、脆弱性検出設定を管理できます：

# デフォルト設定を取得
config = client.call({
    "type": "get_config"
})

# 新しい設定を作成
result = client.call({
    "type": "create_config",
    "config_data": {...},  # 設定データ
    "config_path": "/path/to/save/config.json"  # オプション
})

バッチファイル解析

プロジェクト全体またはディレクトリを解析します：

result = client.call({
    "type": "analyze_path",
    "target_path": "/path/to/project",
    "config_path": "/path/to/config.json",
    "output_path": "/path/to/output.json"  # オプション
})

🤝 コントリビューション

コントリビューションを歓迎します！Lanalyzerにコントリビュートする方法については、CONTRIBUTING.md ファイルを参照してください。

📄 ライセンス

このプロジェクトはGNU Affero General Public License v3.0の下でライセンスされています。詳細については、LICENSE ファイルを参照してください。

📞 お問い合わせ

お問い合わせ先

• 問題報告：GitHub Issues
• メール：support@mx-crafts.com