bandit报错“modulenotfounderror”是因安装环境与运行环境不一致，需用当前python解释器执行python -m pip install bandit并验证；默认全规则扫描低效，应按需启用高价值规则并配置bandit.yaml；需排除无关目录防卡顿；ci中必须加--exit-code参数控制退出码。
Bandit 安装后运行报错 ModuleNotFoundError: No module named 'bandit'
这不是 Bandit 没装上，而是 Python 环境混乱导致的典型路径问题。Bandit 依赖 setuptools 和 stevedore，但更关键的是：它必须安装在你实际运行扫描的 Python 解释器环境中——而不是系统 Python、conda base 环境或某个被遗忘的虚拟环境里。
实操建议：
- 用
which python或where python（Windows）确认当前 shell 使用的 Python 路径 - 统一用该解释器安装：
python -m pip install bandit（比直接pip install bandit更可靠） - 验证是否装对：
python -c "import bandit; print(bandit.__version__)" - 如果项目用
poetry或pipenv，得先进入其 shell 再安装，否则bandit不在该环境的sys.path里
扫描结果太多低危告警，根本没法聚焦真实风险
Bandit 默认启用全部 50+ 条检测规则（test plugins），但多数项目真正需要关注的是注入、硬编码密钥、危险函数调用这三类。放任默认配置，等于用消防水炮打蚊子——声势大，效率低，还容易漏掉真火点。
实操建议：
- 用
bandit -l查看所有可用 test ID（如B101是 assert，B102是 exec，B112是 eval） - 按需启用高价值规则：
bandit -r . -t B101,B102,B112,B171,B301,B311,B404,B601,B602,B603,B607 - 把常用规则集写进
bandit.yaml配置文件，避免每次敲长命令；注意配置中skips和tests是互斥的，别同时设 - 对测试代码或 mock 文件夹，用
--exclude tests/直接跳过，不靠#nosec注释污染源码
bandit -r . 扫描卡住或内存暴涨
Bandit 是单线程 AST 解析器，遇到大项目（尤其含大量生成代码、Jinja 模板或 protobuf 编译产物）时，会尝试解析所有 .py 文件——包括你根本不想审的 venv/、__pycache__/、.mypy_cache/。它不会自动识别这些目录，也不会优雅降级。
实操建议：
- 强制排除常见干扰路径：
bandit -r . --exclude venv/,node_modules/,build/,dist/,__pycache__/,.mypy_cache/ - 用
--recursive（即-r）时，Bandit 会递归所有子目录，但如果你只关心src/和app/，就别用-r .，改用bandit -r src/ app/ - 对超大单文件（>10MB 的自动生成代码），Bandit 可能卡死；可先用
find . -name "*.py" -size +5M排查，再用--include白名单精准控制 - 内存问题常伴随
RecursionError或Killed: 9（macOS/Linux），此时加--processes 1反而更稳——Bandit 的多进程支持其实很弱，别信文档里的“parallel”宣传
CI 中集成 Bandit 时，exit code 总是 0 即使发现高危问题
Bandit 默认行为是：只要没发生解析异常或配置错误，就返回 0。哪怕扫出 100 个 HIGH 级别问题，CI 流水线照样绿灯通行。这是最危险的静默失效——你以为它在守门，其实门一直开着。
实操建议：
- 必须加
--exit-code参数，它会让 Bandit 在发现任何SEVERITY≥ 阈值时返回非 0 码；例如--exit-code --severity-level high表示只要出现HIGH或CRITICAL就失败 - CI 脚本里别只写
bandit -r src/，要明确约束：bandit -r src/ --exit-code --severity-level high --confidence-level medium - 注意
--confidence-level默认是low，意味着连“可能有风险”的弱信号都会触发失败；生产环境建议设为medium或high，避免误报拖垮流水线 - 如果团队接受部分已知低风险（如内部工具用
os.system），可用--baseline生成快照，后续只报新增问题——但 baseline 文件本身要纳入 Git，且定期人工复核
Bandit 不是银弹，它只检查 AST 层面的模式匹配，对动态拼接、配置驱动的行为完全无感。真正关键的逻辑漏洞，比如 JWT 密钥硬编码在 YAML 里、SQL 注入藏在 SQLAlchemy 的 text() 字符串中，它扫不出来。别让它替代人工审计，也别让它掩盖你没做威胁建模的事实。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
