bandit插件必须继承testcontext类，因其扫描器硬编码只识别该类为合法入口；run方法需手动遍历ast并检查ast.call节点；插件须通过模块路径导入且仅含一个testcontext子类；confidence和severity须在add_issue中传字符串参数。
bandit 插件为什么必须继承 TestContext 类
因为 bandit 的扫描器在运行时只识别继承自 TestContext 的类作为合法插件入口，其他类名或函数定义会被直接忽略——哪怕路径正确、文件可导入。这不是配置问题，是硬编码的类型检查逻辑。
常见错误现象：bandit -r . -x my_plugin 完全没触发你的代码，bandit --list-plugins 里也看不到；但把类名改成 MyPlugin 并继承 TestContext 后立刻生效。
- 必须显式写
class MyCustomTest(bandit.TestContext):，不能只写def run(...) - 类名不需要匹配文件名，但必须唯一，否则后续插件会覆盖前一个
- 不继承
TestContext的模块即使被-x指定，bandit 也会静默跳过
如何让 run 方法真正捕获到危险函数调用
bandit 不是靠字符串匹配，而是基于 AST 遍历。你写的 run 方法必须手动遍历节点，并对 ast.Call 做判断——它不会自动帮你“检测所有 eval 调用”。
使用场景：比如你想拦截所有带 subprocess.Popen 且含 shell=True 的调用。
立即学习“Python免费学习笔记（深入）”；
- 必须在
run中调用self.visit(node)（通常放在__init__或顶层逻辑里），否则 AST 遍历根本不会启动 - 重写
visit_Call方法时，要检查node.func是否为ast.Attribute或ast.Name，再逐层取属性名，不能只看node.func.id - 示例片段：
if (isinstance(node.func, ast.Attribute) and isinstance(node.func.value, ast.Name) and node.func.value.id == 'subprocess' and node.func.attr == 'Popen'):然后继续检查
node.keywords里有没有shell=True
bandit.register 和插件路径加载的隐性规则
bandit 不支持任意路径导入插件。它只从 pythonPATH 或当前工作目录下的 bandit/plugins/ 子目录自动发现，或者靠 -x 显式指定模块路径（如 myproject.plugins.mytest），但该模块必须能被 Python 正常 import。
容易踩的坑：把插件文件放在 ./plugins/xxx.py，却没加 __init__.py，导致 import plugins.xxx 失败，bandit 报错 ImportError: No module named 'plugins'。
-
-x后跟的是 Python 模块路径，不是文件路径，例如-x mypkg.bandit_plugins.unsafe_eval - 模块中必须有且仅有一个继承
TestContext的类，bandit 会自动实例化它 - 如果插件依赖其他本地模块，确保它们也在
PYTHONPATH中，否则run方法里 import 会失败，但错误可能被吞掉，只表现为“无报告”
为什么 confidence 和 severity 设置不生效
这两个字段不是在类定义里设的，而是在每次调用 self.add_issue(...) 时传进去的。bandit 插件里没有全局配置项，每个 issue 必须单独声明等级。
性能影响：设成 HIGH 不会变慢，但设错会导致报告被过滤——比如 CI 脚本用了 --severity-level medium，而你只打了 LOW，那条 issue 就不会出现在输出里。
- 正确写法：
self.add_issue(node, severity="HIGH", confidence="MEDIUM", text="unsafe shell=True") - 值只能是字符串
"LOW"/"MEDIUM"/"HIGH"，大小写敏感，写成小写或数字会静默失败 - 别试图在类属性里写
severity = "HIGH"——bandit 完全不读这个
插件里 AST 节点的 parent 关系不可靠，node.parent 在 bandit 里默认为空；需要自己维护上下文栈，否则判断嵌套调用（比如 eval(compile(...))）很容易漏判。