Introducing the Pixi Audit Beta
10 hours ago
- Pixi 审计是一个用于 conda-forge 的测试版漏洞审计工具，类似于 pip audit 和 npm audit。
- Conda-forge 之前缺少漏洞数据库，因此创建了 Basilisk，一个专门的数据库。
- 通过 'pixi global install' 从 prefix-labs 通道进行安装，使用方法是在工作区或锁定文件上运行 'pixi audit'。
- 结果会显示漏洞的严重性、状态和优先级评分，并提供建议的下一步操作，如使用 --fix 自动修复。
- 该工具可以集成到 CI 流水线中，支持严重性阈值和 JSON/SARIF 输出。
- Basilisk 使用 PURL 和 CPE 将 conda-forge 包映射到其他漏洞数据库，并鼓励社区帮助。
- 未来计划包括支持 OpenVEX 以确定漏洞适用性，以及基于 SBOM 的静态链接二进制文件审计。
- 欢迎通过 Discord 提供反馈，安全性是 conda-forge 产品的重点。