OpenSSF Python安全程式開發指南pyscg發布
OpenSSF 於 2026-05-12 發布《Python 安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版。
核心特色
- 9大章節、超過50項規則，附可執行程式碼範例
- 適用範圍：CPython 3.9+ 及標準函式庫
- 設計為可在 40小時內完成自學
- 指南：https://best.openssf.org/Secure-Coding-Guide-for-Python/
章節主題
- 信任邊界、硬編碼憑證、輸入正規化、數值處理
- OS命令注入、SQL注入、反序列化、路徑穿越
- 例外處理、日誌記錄、並行處理、密碼學
用途
- 開發者培訓：新進開發者建立安全程式開發基本觀念
- 資安研究：觀察 Python 弱點模式
- AI工具評測：測試LLM、靜態分析器的程式碼審查能力
重要觀察
AI輔助程式碼審查雖有助於找出問題，但無法涵蓋所有安全風險。
- 每項規則附對應 CWE 分類 + 實際 CVE 案例 + CVSS / EPSS 分數
- 採用 CVSS（嚴重程度）+ EPSS（實際被利用可能性）雙指標
關聯背景
- OpenSSF 同期指出約 30% Linux漏洞通報為重複案例，疑與AI工具普及有關
- 本指南部分目標即為評測AI工具在安全程式碼審查方面的能力
來源文章
- ithome-2026-05-26-openssf-python-security-guide-176133 — 主要來源
- ithome-2026-05-26-security-daily-176130 — 相關背景
相關頁面
- openssf — 發布組織
- AI加速Linux漏洞發現OpenSSF稱三成通報為重複案例 — 同期OpenSSF議題