설치된 버전과 알려진 문제
사용 중인 패키지 이름과 버전이 공개된 취약점 보고의 대상인지 확인한다. Python Packaging Advisory Database의 정보를 PyPI API를 통해 활용하며 다른 취약점 서비스도 선택할 수 있다. 새로운 결함을 소스에서 직접 찾아내는 정적 분석기와는 검사 방식이 다르다.
환경과 선언 파일 감사
로컬 Python 환경이나 requirements 형식의 파일 등을 대상으로 사용할 수 있다. 결과는 표와 Markdown, JSON 같은 형식으로 출력하고 CycloneDX 기반 소프트웨어 구성 명세를 생성하는 기능도 있다. CI나 커밋 전 검사에 연결해 의존성 검사를 반복하는 흐름을 구성할 수 있다.
수정과 검증 범위
취약한 의존성을 자동으로 갱신하는 옵션을 제공한다. 다만 새 버전으로 바뀐 패키지가 애플리케이션과 호환되는지는 별도 테스트가 필요하다. 알려진 취약점이 발견되지 않았다는 결과 역시 모든 보안 문제가 없다는 보장이 아니라 조회한 정보와 검사 범위에서의 결과다.
관련 문서
Deptry / Semgrep / CodeQL / Pre-commit / Python Build