Python Community | Chat

‍🔥 Package Doctor - необычный security-сканер для Python-зависимостей Он отвечает не только на вопрос «есть ли у пакета CVE?», а на более практичный: если завтра в этой зависимости найдут уязвимость, вы реально под угрозой и есть ли вообще кому её исправлять? Package Doctor оценивает сразу две вещи: - находится ли библиотека на trust boundary: auth, загрузка файлов, десериализация, crypto, URL parsing, model loading и т.д. - есть ли у проекта реальная способность быстро выпустить фикс Плюс инструмент: - проверяет pinned-версии по advisory-базам - учитывает CISA KEV и EPSS - AST-парсит ваш код и показывает, где зависимость реально импортируется - отличает abandoned package от просто редко обновляемого - умеет работать как hook для Claude Code и блокировать подозрительную зависимость до pip install Интересный подход: не засыпать разработчика сотнями CVE, а приоритизировать именно те зависимости, где одновременно есть экспозиция + слабая поддержка. Автор отдельно рекомендует использовать его вместе с pip-audit, а не вместо него. https://github.com/binuka200/package-doctor @Python_Community_ru