pip-audit ile Python Ortamı Tarama: Pillow Haftasında Pratik Rehber

71Mesaj · Dün, 08:34 AM

Selamlar,

Bu hafta Pillow (CVE-2026-112900) ve LiteLLM tedarik zinciri derken Python bağımlılık envanteri yeniden gündeme geldi. pip-audit, PyPI/OSV üzerinden bilinen açıklara karşı ortamınızı veya requirements dosyanızı tarayan resmiye yakın, bakımı süren bir araç. Bu rehber kurulumu, ilk taramayı ve CI'ya eklemeyi adım adım anlatıyor.

Konuda anlatılacaklar

Kurulum
Ortam ve requirements taraması
Çıktı formatları
--fix ve dikkat edilecekler
CI örneği

1. Kurulum
Python 3.10+ gerekir:

Kod:
python3 -m pip install -U pip-audit
pip-audit --version

2. İlk tarama

Kod:
# Aktif sanal ortam
pip-audit

# Yalnizca yerel (sistem paketlerini gizle)
pip-audit --local

# requirements dosyasi
pip-audit -r requirements.txt

# Proje dizini (pyproject.toml)
pip-audit .

3. Çıktı formatları

Kod:
pip-audit -f columns
pip-audit -f json -o audit.json
pip-audit -f markdown
pip-audit --desc --aliases

JSON çıktıyı SIEM veya ticket sistemine beslemek kolaydır.

4. --fix ve sınırlar

Kod:
pip-audit --fix --dry-run   # ne yapacagini gosterir
pip-audit --fix             # bilinen duzeltmesi olanlari yukseltmeye calisir

Önemli: pip-audit zararlı paketi tespit motoru değildir; bilinen CVE/advisory listesine bakar. "pip install etmeyeceğiniz şeyi pip-audit etmeyin" güvenlik modeli geçerlidir. Hash'li requirements ile --require-hashes tekrarlanabilir denetim sağlar.

5. CI örneği (GitHub Actions)

Kod:
jobs:
  pip-audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.12"
      - run: pip install pip-audit
      - run: pip-audit -r requirements.txt

Resmi GitHub Action da var: pypa/gh-action-pip-audit. Pillow 13.0.0 gibi güvenlik sürümlerini kaçırmamak için bu taramayı PR kapısına koyun.

Python projelerinizde bağımlılık taramasını CI'da zorunlu tutuyor musunuz?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

pip-audit ile Python Ortamı Tarama: Pillow Haftasında Pratik Rehber

Forum

Topluluk

Yardım