Lanalyzer

🚀 Lanalyzer

Lanalyzer 是一款先進的 Python 靜態汙點分析工具，旨在檢測 Python 項目中潛在的安全漏洞。它能夠識別從不可信源（Sources）到敏感操作（Sinks）的數據流，並詳細揭示潛在風險。

🚀 快速開始

前提條件

• Python 3.10 或更高版本
• uv（推薦用於依賴管理）

安裝步驟

1. 克隆倉庫：

git clone https://github.com/bayuncao/lanalyzer.git
cd lanalyzer

2. 創建虛擬環境並安裝依賴：

uv venv
uv pip sync pyproject.toml --all-extras

3. 激活虛擬環境：

source .venv/bin/activate

✨ 主要特性

• 汙點分析：跟蹤從源到匯的數據流。
• 可定製規則：定義自己的源、匯、清理器和汙點傳播路徑。
• 靜態分析：無需執行代碼。
• 可擴展性：輕鬆添加新規則以檢測 SQL 注入、XSS 等漏洞。
• 詳細報告：生成包含漏洞詳情和緩解建議的全面分析報告。
• 命令行界面：可直接從終端運行分析。

💻 使用示例

基礎用法

對 Python 文件運行汙點分析：

lanalyzer --target <target_file> --config <config_file> --pretty --output <output_file> --log-file <log_file> --debug

命令行選項

• --target：要分析的 Python 文件或目錄的路徑。
• --config：配置文件的路徑。
• --output：保存分析報告的路徑。
• --log-file：保存日誌文件的路徑。
• --pretty：美化輸出格式。
• --detailed：顯示詳細的分析統計信息。
• --debug：啟用調試模式並進行詳細日誌記錄。

示例

lanalyzer --target example.py --config rules/sql_injection.json --pretty --output example_analysis.json --log-file example_analysis.log --debug

🧩 模型上下文協議 (MCP) 支持

Lanalyzer 現在支持 模型上下文協議 (MCP)，允許它作為 MCP 服務器運行，AI 模型和工具可以通過標準接口訪問汙點分析功能。

安裝 MCP 依賴

如果你使用 pip：

pip install "lanalyzer[mcp]"

如果你使用 uv：

uv pip install -e ".[mcp]"

啟動 MCP 服務器

有多種方式啟動 MCP 服務器：

1. 使用 Python 模塊：

# 查看幫助信息
python -m lanalyzer.mcp --help

# 啟動服務器
python -m lanalyzer.mcp run --host 0.0.0.0 --port 8000 --debug

2. 使用 lanalyzer 命令行工具：

# 查看幫助信息
lanalyzer mcp --help

# 啟動服務器
lanalyzer mcp run --host 0.0.0.0 --port 8000 --debug

# 使用 FastMCP 開發模式（如果適用，請驗證此命令）
# lanalyzer mcp dev

MCP 服務器特性

MCP 服務器提供以下核心功能：

1. 代碼分析：分析 Python 代碼字符串中的安全漏洞。
2. 文件分析：分析特定文件中的安全漏洞。
3. 路徑分析：分析整個目錄或項目中的安全漏洞。
4. 漏洞解釋：詳細解釋發現的漏洞。
5. 配置管理：獲取、驗證和創建分析配置。

與 AI 工具集成

MCP 服務器可以與支持 MCP 協議的 AI 工具集成：

# 使用 FastMCP 客戶端
from fastmcp import FastMCPClient

# 創建連接到服務器的客戶端
client = FastMCPClient("http://127.0.0.1:8000")

# 分析代碼
result = client.call({
    "type": "analyze_code",
    "code": "user_input = input()\nquery = f\"SELECT * FROM users WHERE name = '{user_input}'\"",
    "file_path": "example.py",
    "config_path": "/path/to/config.json"
})

# 打印分析結果
print(result)

在 Cursor 中使用

如果你在 Cursor 編輯器中工作，可以直接要求 AI 使用 Lanalyzer 分析你的代碼：

Please use lanalyzer to analyze the current file for security vulnerabilities and explain the potential risks.

MCP 命令行選項

MCP 服務器支持以下命令行選項：

• --debug：啟用調試模式並進行詳細日誌記錄。
• --host：設置服務器監聽地址（默認：127.0.0.1）。
• --port：設置服務器監聽端口（默認：8000）。

高級 MCP 使用

自定義配置

你可以使用 get_config、validate_config 和 create_config 工具管理漏洞檢測配置：

# 獲取默認配置
config = client.call({
    "type": "get_config"
})

# 創建新配置
result = client.call({
    "type": "create_config",
    "config_data": {...},  # 配置數據
    "config_path": "/path/to/save/config.json"  # 可選
})

批量文件分析

分析整個項目或目錄：

result = client.call({
    "type": "analyze_path",
    "target_path": "/path/to/project",
    "config_path": "/path/to/config.json",
    "output_path": "/path/to/output.json"  # 可選
})

🤝 貢獻

我們歡迎貢獻！請參閱 CONTRIBUTING.md 文件，瞭解如何為 Lanalyzer 做出貢獻的指南。

📄 許可證

本項目採用 GNU Affero General Public License v3.0 許可。詳情請參閱 LICENSE 文件。

📞 聯繫

• 問題反饋：GitHub Issues
• 郵箱：support@mx-crafts.com