该扫描工具通过**双解析器架构**与**标准化依赖提取流程**实现两种配置文件的自动检测，其核心在于对Python依赖管理生态的深度适配。具体实现机制如下： ## 文件检测与解析逻辑 ### 1. 多格式兼容性设计 工具采用**优先级探测策略**，优先扫描`requirements.txt`，若未发现则自动切换至`pyproject.toml`解析。这种设计充分考虑了Python项目的实际配置分布特征： ```python def scan_project(self, project_root: Path): # 尝试解析 requirements.txt req_file = project_root / "requirements.txt" if req_file.exists(): print("📦 正在解析 requirements.txt...") packages = self.parse_requirements(req_file) else: packages = [] # 如果没有 requirements.txt，尝试解析 pyproject.toml if not packages: pyproject_file = project_root / "pyproject.toml" if pyproject_file.exists(): print("📦 正在解析 pyproject.toml...") packages = self.parse_pyproject(pyproject_file) ``` ### 2. requirements.txt解析器实现 针对传统pip依赖文件的语法多样性，解析器采用**逐行语义分析**与**版本标识提取**策略： ```python def parse_requirements(self, req_file: Path) -> List[Dict[str, str]]: packages = [] try: with open(req_file, 'r', encoding='utf-8') as f: for line in f: line = line.strip() # 跳过注释行和空行 if not line or line.startswith('#'): continue # 支持多种版本标识格式 parts = line.split('==') if len(parts) == 2: name, version = parts else: name = line version = "unknown" # 处理无明确版本的情况 packages.append({ "name": name.strip(), "version": version.strip() }) except Exception as e: print(f"❌ 解析{req_file}失败: {e}") return [] return packages ``` ### 3. pyproject.toml解析器实现 针对现代Python打包标准，该解析器通过**结构化配置解析**处理PEP 621兼容的依赖声明： ```python def parse_pyproject(self, pyproject_file: Path) -> List[Dict[str, str]]: try: import toml with open(pyproject_file, 'r', encoding='utf-8') as f: data = toml.load(f) packages = [] # 从 [project.dependencies] 中提取依赖信息 deps = data.get("project", {}).get("dependencies", []) for dep in deps: if "==" in dep: name, version = dep.split("==", 1) else: name = dep version = "unknown" packages.append({ "name": name.strip(), "version": version.strip() }) return packages except Exception as e: print(f"❌ 解析{pyproject_file}失败: {e}") return [] ``` ## 技术架构对比分析 | 特性维度 | requirements.txt解析器 | pyproject.toml解析器 | |---------|----------------------|---------------------| | **解析方式** | 行级文本处理 | 结构化配置解析 | | **依赖提取** | 正则匹配与字符串分割 | TOML标准库反序列化 | | **版本处理** | 支持`==`、`>=`等操作符 | 仅处理`==`精确版本 | | **错误恢复** | 单行失败不影响整体 | 整体解析失败则返回空 | | **扩展性** | 有限语法支持 | 支持PEP 621完整规范 | ## 依赖信息标准化流程 两种解析器最终输出统一的依赖对象格式，确保后续漏洞查询接口的一致性： ```python { "name": "package_name", # 标准化包名 "version": "specific_version" # 版本标识（含unknown处理） } ``` 这种设计实现了**配置格式无关性**，无论项目采用传统requirements.txt还是现代pyproject.toml，都能通过统一的漏洞检测管道进行处理。 ## 容错机制与用户体验 1. **渐进式探测**：工具不会因单一文件解析失败而终止，而是尝试备选配置方案 2. **详细错误报告**：每个解析异常都会输出具体错误信息，便于调试 3. **版本容错**：对未指定精确版本的情况标记为"unknown"，仍进行基础漏洞扫描 该自动检测系统的核心价值在于**无缝适配Python生态的配置演进**，既支持传统项目的维护需求，又兼容现代打包标准的发展趋势。通过抽象解析层与统一查询层的分离，实现了技术债务清理与创新采纳的平衡 [ref_1]。