金字塔/Python安全扫描器？

Question

是否有适用于Pyramid的自动安全扫描程序

我在其他框架中也看到过这些，比如Rails的Brakeman。如果金字塔(或者一般的Python )有一个的话，那就太好了。

不过，如果没有的话，我也不会感到惊讶，因为它没有Rails那么受欢迎。

Answer 1

我不确定Pyramid或任何Python应用程序是否是安全扫描程序的好目标。我正在阅读this list，我不确定这些问题是否适用于Python web应用程序。不过，这是一个有趣的想法。

像金字塔这样的框架应该有安全的默认设置，这样OWASP最常见的10个漏洞就不会在第一时间发生。

JSON injections

• Template使用SQLALchemy或Django ORM阻止
• 引擎进行安全的SQLALchemy转义默认情况下，
• 不安全的序列化(Python酸洗)是不存在的，因为大多数代码都使用JSON
• 我还没有看到有人用Python做eval()，尽管这并不意味着某些可怜的人不会做JSON

但是，新手程序员肯定可以直接处理这类问题，并且使用自动扫描器捕获手工编码的SQL字符串或eval()使用情况是有意义的。但十多年来，我一直从事各种Python web项目和安全方面的工作，我的直觉是，在Python的世界中，事情的状态更加健壮，使用安全扫描程序所获得的收益将非常小或根本不存在。