Code Pathfinder

파일 간 오염 분석

대부분의 오픈소스 SAST 도구는 단일 파일에서 작동하지만, Code Pathfinder는 파일 경계를 넘어 오염된 데이터를 추적합니다. 한 파일의 HTTP 핸들러에서 사용자 입력을 추적하여, 보조 함수를 거쳐 다른 파일의 SQL 쿼리까지 연결하는 흐름을 분석할 수 있습니다.

보안 규칙 레지스트리

190개 이상의 보안 규칙이 자동으로 다운로드되어 사용 가능합니다. Python(Django, Flask, AWS Lambda, 암호화, JWT 등 158개 규칙), Docker(37개 규칙), Docker Compose(10개 규칙)를 지원합니다.

MCP 서버 통합

Claude Code, Cursor, Cline 등 AI 코딩 어시스턴트에 코드 그래프, 데이터 흐름, 보안 분석 기능을 제공하는 MCP 서버 모드를 지원합니다.

커스텀 규칙 작성

PathFinder SDK를 사용하여 Python 스크립트로 보안 규칙을 커스터마이징할 수 있습니다. 소스, 싱크, 살균기를 정의하면 데이터 흐름 엔진이 분석을 처리합니다.

다운로드·설치 방법

Homebrew(권장): brew install shivasurya/tap/pathfinder

pip: pip install codepathfinder

Docker: docker pull shivasurya/code-pathfinder:stable-latest

Windows 사용자: GitHub Releases 페이지에서 Windows(x64) 사전 빌드 바이너리를 다운로드할 수 있습니다.

기본 사용법

Python 프로젝트 스캔: pathfinder scan –ruleset python/all –project .

Dockerfile 스캔: pathfinder scan –ruleset docker/all –project .

JSON 출력: pathfinder scan –ruleset python/all –project . –output json –output-file results.json

SARIF 출력(GitHub Code Scanning용): pathfinder scan –ruleset python/all –project . –output sarif –output-file results.sarif

MCP 서버 모드 시작: pathfinder serve –project .

이런 경우에 유용합니다

Python 웹 애플리케이션의 SQL 인젝션, XSS, SSRF 등 주요 보안 취약점을 자동으로 탐지해야 할 때.

Docker 및 Docker Compose 설정 파일의 보안 구성 오류를 검사해야 할 때.

CI/CD 파이프라인에 정적 보안 분석을 통합하여 코드 리뷰 프로세스를 강화해야 할 때.

AI 코딩 어시스턴트와 연동하여 코드 구조와 데이터 흐름을 자연어로 질문해야 할 때.

지원 환경·시스템 요구사항

지원 언어: Python, Docker, Docker Compose(Go 지원이 곧 추가될 예정).

플랫폼: macOS, Linux, Windows(x64).

설치 방법: Homebrew(macOS/Linux), pip(Python 환경), Docker, 또는 GitHub Releases의 사전 빌드 바이너리(Windows 포함).

최신 버전·업데이트

최신 버전은 v2.1.0으로, Go 언어 지원(21개 보안 규칙, 6.6배 더 빠른 스캔)이 추가되었습니다.

제한 사항·확인 사항

현재 완전히 지원되는 언어는 Python, Docker, Docker Compose입니다. Go 지원은 아직 완료되지 않았습니다.

커스텀 규칙을 작성하려면 Python SDK와 규칙 작성 가이드를 참고해야 합니다.

Windows 바이너리는 GitHub Releases에서 별도로 다운로드해야 합니다.