pip-audit是PyPA官方推荐的轻量级依赖漏洞扫描工具，专注检查已安装包或requirements.txt中的已知CVE，数据源为PyPI和GitHub Advisory，支持JSON输出、dry-run预演及--descend深度扫描，默认不分析代码逻辑与间接依赖。
pip-audit 是目前最直接、最轻量的方案，能快速识别已安装包中的已知漏洞。它由 PyPA 官方推荐，数据源来自 PyPI 和 GitHub Advisory，不依赖商业数据库，适合本地快速验证。
用 pip-audit 扫描当前环境或 requirements.txt
它默认扫描 site-packages 下所有已安装包，比只读 requirements.txt 更真实——因为实际运行环境可能有手动升级、版本冲突或未锁版本导致的偏差。
- 扫描当前 Python 环境：
pip-audit - 指定依赖文件（更可控）：
pip-audit -r requirements.txt - 输出结构化结果供 CI 解析：
pip-audit --json > audit.json - 预演升级建议（不实际改环境）：
pip-audit --dry-run
注意：pip-audit 不检查源码逻辑（比如 eval() 调用），只查包级 CVE；它也不扫描子依赖的间接依赖树深度，除非你加 --descend（默认关）。
用 safety 快速核对 requirements.txt 中的版本风险
safety 的优势是快、轻、命令简单，适合在 CI 流水线早期做“准入检查”。但它依赖 PyUp 的漏洞数据库，免费版更新有延迟（通常滞后数小时到一天），严重漏洞可能漏报。
立即学习“Python免费学习笔记（深入）”；
快速生成专业的 Python 脚本和应用代码。一键创建完整项目结构，支持CLI、API、爬虫、Bot、Django等多种项目类型，包含完整的项目结构、配置文件、依赖管理、测试、README和文档。
- 安装并扫描：
pip install safety && safety check -r requirements.txt - 只显示高危以上：
safety check -r requirements.txt --severity=high - 忽略特定 CVE（慎用）：
safety check -r requirements.txt --ignore=PYSEC-2023-123
常见坑：如果 requirements.txt 里用了 -e git+... 或本地路径依赖，safety 会跳过不查——它只认标准 PyPI 包名+版本号。
用 bandit 查代码里调用危险函数引发的风险
bandit 不查第三方库有没有 CVE，而是查你自己写的代码有没有“用错”第三方库——比如用 pickle.loads() 反序列化不可信输入，或用 os.system() 拼接用户数据。
- 递归扫描项目源码：
bandit -r . - 排除虚拟环境和测试目录：
bandit -r . -x venv,tests,__pycache__ - 只看中高危问题：
bandit -r . --severity-level high - 导出 JSON 报告：
bandit -r . -f json -o bandit-report.json
典型误报点：assert 被标为 B101（LOW），但生产环境本就不该依赖 assert 做校验；hashlib.md5() 是 B303（MEDIUM），但若仅用于非安全场景（如生成缓存 key），可加 # nosec 注释跳过。
为什么不能只靠一种工具？
漏洞存在于不同层面：pip-audit 看包本身是否带 CVE，safety 看声明版本是否在已知风险范围内，bandit 看你怎么用这些包。三者覆盖维度不同，且都存在盲区：
-
pip-audit不知道你是否用了某个包的高危 API 路径 -
safety对私有索引或本地 wheel 包完全无感 -
bandit无法识别动态构造的函数名（如getattr(os, "system")()）
真正容易被忽略的是：没有把扫描集成进 pre-commit 或 CI，等上线后才发现漏洞；或者扫完不跟进修复，只是“知道了”。工具只是放大镜，不是自动修复器。
