Repolode
Предложить
dvershinin

dvershinin/gixy

Статический анализатор, который проверяет конфигурации NGINX на ошибки безопасности и типичные проблемы с производительностью.

Открыть на GitHubСайт
Звёзды
1,187
Форки
29
Открытые issues
0
Последний коммит
позавчера

Что это?

Gixy анализирует конфигурационные файлы NGINX и находит ошибки безопасности, не запуская сервер. Он помогает выявлять, например, настройки прокси, уязвимые к SSRF, разделение HTTP-ответов из-за небезопасных переменных, подмену заголовка Host, слабые настройки TLS, обход путей через alias и раскрытие версии сервера.

Помимо проверок безопасности, Gixy отмечает проблемы с производительностью и поддерживаемостью: например, рискованные регулярные выражения, способные привести к ReDoS, директивы `if` внутри блоков location и отсутствие резолверов для OCSP stapling. Проверку NGINX на CVE можно включить, указав версию сервера, а режим автоисправления позволяет применить некоторые исправления с созданием резервных файлов.

Gixy — консольная утилита на Python, которую можно установить через pip, Homebrew, RPM, Alpine, Arch AUR или conda-forge. Также доступны Docker-образ и плагины для IDE: VS Code и продуктов JetBrains.

Ключевые возможности

  • 01Находит в конфигурациях NGINX риски SSRF, разделения HTTP-ответов и подмены Host.
  • 02Проверяет настройки TLS, заголовки HSTS и раскрытие версии сервера.
  • 03Отмечает рискованные регулярные выражения, способные привести к ReDoS.
  • 04Проверяет известные CVE в NGINX, если указать номер версии.
  • 05Предлагает режим автоисправления с возможностью создавать резервные копии .bak.

Сценарии использования

  • Проверка конфигураций NGINX в production перед развёртыванием или аудитом безопасности.
  • Добавление линтинга конфигураций NGINX в CI-пайплайн.
  • Проверка конфигурации ingress-контроллера в кластере Kubernetes.
  • Получение подсказок по безопасности NGINX прямо в редакторе JetBrains или VS Code.

Быстрый старт

  1. 1

    Установите Gixy из PyPI с помощью pip

    pip install gixy-ng
  2. 2

    Проанализируйте файл конфигурации NGINX

    gixy /etc/nginx/nginx.conf

Что важно знать

  • Полноценное тестирование проводилось только в GNU/Linux; в других операционных системах возможны проблемы.
  • В метаданных в качестве лицензии указано NOASSERTION, поэтому перед использованием следует проверить условия лицензирования.

Темы

#nginx#security#linter#configuration#static-analysis#devops#checker#linting#nginx-configuration#python

Частые вопросы

Что такое gixy?
Статический анализатор, который проверяет конфигурации NGINX на ошибки безопасности и типичные проблемы с производительностью. Gixy анализирует конфигурационные файлы NGINX и находит ошибки безопасности, не запуская сервер. Он помогает выявлять, например, настройки прокси, уязвимые к SSRF, разделение HTTP-ответов из-за небезопасных переменных, подмену заголовка Host, слабые настройки TLS, обход путей через alias и раскрытие версии сервера.
gixy можно использовать бесплатно? Какая у него лицензия?
gixy распространяется с открытым исходным кодом под лицензией Other. Перед использованием в коммерческих продуктах проверьте условия лицензии.
gixy всё ещё поддерживается?
Активно поддерживается. Последний коммит в gixy — 20 окт. 2026 г..
Для чего можно использовать gixy?
Проверка конфигураций NGINX в production перед развёртыванием или аудитом безопасности. Добавление линтинга конфигураций NGINX в CI-пайплайн. Проверка конфигурации ingress-контроллера в кластере Kubernetes. Получение подсказок по безопасности NGINX прямо в редакторе JetBrains или VS Code.
Как установить gixy?
Установите Gixy из PyPI с помощью pip: pip install gixy-ng Проанализируйте файл конфигурации NGINX: gixy /etc/nginx/nginx.conf
Где скачать gixy?
Исходный код и инструкции по установке — на GitHub: https://github.com/dvershinin/gixy

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты

SonarSource / sonarqube

Платформа для самостоятельного развертывания, которая анализирует проекты на наличие ошибок, уязвимостей и проблем с поддерживаемостью и применяет Quality Gates в CI-пайплайнах.

Инструменты разработчика#static-analysis#code-quality#security
11,1 тыс.2,2 тыс.JavaLGPL-3.0Обновлён позавчера