# Catégories d'analyse de sécurité du code
SAST (Static Application Security Testing)  : analyse le code source sans l'exécuter
DAST (Dynamic Application Security Testing) : teste l'application en cours d'exécution (boîte noire)
SCA (Software Composition Analysis)          : analyse les dépendances tierces pour des CVE connues
IAST (Interactive AST)                        : combine SAST+DAST via instrumentation à l'exécution

# SAST avec Bandit (Python) - détecte des patterns de code dangereux
bandit -r ./app -f json -o bandit-report.json
bandit -r ./app -ll   # affiche uniquement les sévérités moyenne et haute

# Exemples de findings typiques que Bandit détecte
import subprocess
subprocess.call("ls " + user_input, shell=True)  # B602 - shell=True avec entrée non fiable -> injection de commande

import pickle
data = pickle.loads(untrusted_bytes)  # B301 - désérialisation non fiable -> exécution de code arbitraire

password = "hardcoded_password_123"  # B105 - secret codé en dur détecté

# CORRECT : éviter shell=True, passer les arguments en liste (pas de shell intermédiaire)
import subprocess

def list_files_safe(directory: str) -> str:
    # subprocess avec liste d'arguments : pas d'interprétation shell, pas d'injection possible
    result = subprocess.run(["ls", "-la", directory], capture_output=True, text=True, check=True)
    return result.stdout

# Pour la désérialisation : préférer json (sûr) à pickle (dangereux sur données non fiables)
import json
data = json.loads(untrusted_text)   # ne permet pas l'exécution de code arbitraire, contrairement à pickle

# SCA : scanner les dépendances Python pour des vulnérabilités connues
pip-audit                          # scanne l'environnement Python actif contre la base OSV
pip-audit -r requirements.txt --fix   # propose/applique une mise à jour vers une version corrigée

# Équivalent JavaScript/Node.js (frontend Next.js)
npm audit
npm audit fix

# ESLint avec plugin sécurité pour le frontend Next.js/React (SAST JavaScript)
npx eslint --ext .js,.jsx,.ts,.tsx --plugin security ./src

# Semgrep : SAST multi-langage basé sur des règles, très utilisé en CI moderne
semgrep --config "p/owasp-top-ten" ./backend
semgrep --config "p/react" ./frontend

# Intégration en CI/CD (GitHub Actions) : bloquer le merge si une vulnérabilité critique est détectée
name: security-checks
on: [pull_request]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Bandit (SAST Python)
        run: |
          pip install bandit
          bandit -r ./backfast/app -ll -f json -o bandit-report.json
      - name: Run pip-audit (SCA)
        run: |
          pip install pip-audit
          pip-audit -r backfast/requirements.txt
      - name: Run gitleaks (secrets)
        uses: gitleaks/gitleaks-action@v2

// SBOM (Software Bill of Materials) : inventaire exhaustif de tous les composants d'une application
// Format standard CycloneDX, généré automatiquement (ex: avec cyclonedx-py ou syft)
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    { "type": "library", "name": "fastapi", "version": "0.111.0", "purl": "pkg:pypi/fastapi@0.111.0" },
    { "type": "library", "name": "sqlalchemy", "version": "2.0.30", "purl": "pkg:pypi/sqlalchemy@2.0.30" }
  ]
}

# Génération d'un SBOM avec syft, puis scan de ce SBOM avec grype pour détecter des CVE
syft dir:./backfast -o cyclonedx-json > sbom.json
grype sbom:sbom.json --fail-on high

# Le SBOM permet de répondre rapidement à "sommes-nous affectés par la CVE X ?" sans re-scanner tout le code
# Utile lors d'incidents type Log4Shell : recherche instantanée dans l'inventaire plutôt qu'un audit d'urgence