pip-audit

Description

pip-audit audite les dépendances Python déclarées dans requirements.txt ou pyproject.toml contre PyPI Advisory Database (PyPA) et Open Source Vulnerabilities (OSV). Il propose les versions corrigées et supporte les sorties JSON/SBOM CycloneDX.

Mise en œuvre

Exécuter pip-audit --requirement requirements.txt --format json -o pip-audit.json dans le pipeline CI. Combiner avec pip-audit --fix pour mettre à jour automatiquement vers les versions patchées dans les MRs de sécurité.

Points clés

• Virtual environment aware : auditer un venv existant avec pip-audit --path venv/
• OSV source : couvre les vulnérabilités non encore dans la base PyPA
• SBOM output : --format cyclonedx-json pour intégration Dependency-Track