FSV — website security scanner

用于发现那些无人关注的问题的 Web 安全扫描器 — 悬空 DNS 和子域名接管、孤立的云存储桶、遭入侵的脚本 CDN、已过期的 SPF include、未关闭的调试模式、JavaScript 中的机密信息、已停止维护的软件，以及将小问题演变为真实入侵的攻击路径。
可作为 CLI、仪表盘、供 AI Agent 使用的 MCP 服务和 CI 步骤运行。

30 秒接入 MCP · 查看运行效果 · 可发现的问题 · 攻击路径 · 安装 · 使用方法 · CI · FSV 和 ZAP · 限制 · 文档 · 联系

⚠ 仅限授权使用

FSV 是一种安全评估工具。仅可用于测试你拥有或已获得明确书面授权的系统。在大多数司法管辖区，未经许可扫描系统均属违法。每个入口（Web、CLI、MCP、CI）都要求你确认已获得授权；共享部署还可以要求你提供目标控制权的证明，之后才会发送任何载荷（docs/DEPLOYMENT.md）。

在 30 秒内连接你的 AI 助手

让 Claude、Cursor 或 VS Code 连接到 FSV，并请它检查你的网站。助手会请你确认 授权，运行被动检查，然后执行完整扫描，优先展示攻击路径，并提供可直接粘贴的修复方案。

pip install fsv
fsv mcp-config --client claude-code     # prints:  claude mcp add fsv -- /path/to/fsv-mcp
fsv mcp-config --client claude-desktop  # or cursor · vscode — prints the JSON to paste

完全无需安装：使用 uv，让任意 MCP 客户端连接到 uvx fsv mcp （{ "command": "uvx", "args": ["fsv", "mcp"] }）。FSV 已在 官方 MCP Registry 中列出，名称为 io.github.twayst0/fsv。

然后，在助手中输入：“对 https://my-shop.example 使用 security_review 提示词——这是我的网站。”

查看实际效果

这些输出都是真的——扫描的是本仓库附带的故意设置为存在漏洞的演示网站。一分钟即可复现：

python examples/demo_site.py &                 # http://127.0.0.1:8961 — loopback only, fake secrets
fsv scan http://127.0.0.1:8961 --authorize
fsv web                                        # open the same scan in the dashboard

_{cloud_storage 检查会向 Amazon S3 查询演示网站的存储桶是否存在——这一项请求会发送到 AWS（只读）。使用 --no-external 可跳过此检查。}

检查清单会漏掉的问题

很多工具会告诉你缺少某个标头。真正会给组织造成损失的事件——包括那些管理非常到位的组织——往往更隐蔽，发生在无人关注的地方。

详情及所有误报防护措施：docs/DETECTIONS.md。

攻击路径

真实的入侵很少由单个漏洞造成——通常是两个或三个“中危”问题相互叠加。扫描器会分别评估每个问题，因此这些问题的组合会一直被忽略，直到有人撰写事件报告。FSV 会读取自身的发现结果（不会额外发送任何内容），并在确实存在攻击链时添加一条发现，列出各个环节、逐步说明攻击过程，并指出能打破攻击链的最省事单项修复措施。如果某个环节被标记为不处理，攻击链也会自动消失。

仪表板

液态玻璃风格界面，支持实时进度（刷新页面后仍会保留）、攻击路径面板、OWASP 分类、按主机划分的风险趋势、内联分类处理、模块选择器、扫描对比，以及一键导出——可导出报告，也可导出可直接粘贴的修复方案。

功能

• 优先发现页面——除了链接，还会查找 robots.txt、站点地图、调试页面泄露的路由，以及 JavaScript 中引用的 API 路径；绝不会请求类似操作的路径。其他内容可使用 --seed。
• README 徽章——fsv badge <scan_id> 会生成带日期的等级徽章（FSV security | A · 2026-10-25）；可在 CI 中重新生成。
• 修复包——将发现的问题转换为 nginx / Apache / Caddy / Express / DNS 配置（fsv fixes <scan> nginx）。只包含实际发现的问题；CSP 会以仅报告模式输出。
• 适用于 CI——支持 fsv.toml、基线（仅针对新发现的问题设置门禁）、--fail-on、用于 GitHub code scanning 的 SARIF，以及现成的 GitHub Action。
• 持久化分类处置——可标记为误报 / 接受的风险 / 已修复 / 已确认，按稳定指纹存储在每个主机下，并应用于后续扫描，且不计入评分。比较任意两次扫描；查看每个主机的趋势。
• 依据证据，而非猜测——暴露检查会验证内容（.git/HEAD 必须符合其内容特征；对所有请求都返回 200 的 SPA 不会产生发现结果）。每项发现都包含置信度、CWE、OWASP Top 10（2021）类别、影响和修复建议。
• 如实报告失败——崩溃的模块会被计数、说明并记录；从未响应的目标会被标记，而不会被评为“安全”。
• 从设计上确保安全——在源头屏蔽机密信息；云元数据 / 链路本地地址始终无法访问，并可选择在每次查找和每次重定向时阻止回环地址 / RFC 1918 地址；仪表板具备 CSRF / DNS 重绑定防护和令牌身份验证。
• 可扩展——模块只需一个类；将文件放入 ~/.fsv/plugins，或发布入口点包（文档）。也可使用自己的 JS 库安全公告和 EOL 日期。
• 快速、友好且不易被拖垮——异步引擎、带缓存的共享 HTTP 客户端、请求合并、令牌桶速率限制、重试、大小上限、时间限制并返回部分结果。端点挂起时，每次扫描只会产生一次超时，而不是每个模块都超时；每个响应正则表达式都采用线性时间。已针对恶意本地服务进行测试（重定向循环、20 MB 响应体、挂起、兜底 SPA）。
• 五种报告格式——Markdown（按 OWASP 分组）、JSON、自包含 HTML、SARIF 2.1、CSV。
• 本地优先——结果存储在本地 SQLite 文件中；唯一可选的第三方调用列于 DEPLOYMENT.md。

安装

pip install fsv          # Python 3.11+  ·  pipx install fsv  keeps it isolated
fsv doctor               # checks Python, dependencies, DNS, database, plugins

从源代码安装：git clone https://github.com/twayst0/fsv && cd fsv && ./install.sh（或 pip install -e .）。

需要 Python 3.11+。Docker：参见 docs/DEPLOYMENT.md（docker compose up）。

用法

fsv scan example.com --authorize                       # full scan of a site you own
fsv scan example.com --authorize --profile passive     # read-only: no payloads sent
fsv web                                                # dashboard → http://127.0.0.1:7474

# scope & tuning
fsv scan example.com --authorize --exclude "/admin/*,/logout" --max-urls 100 --max-time 900 --tag prod
fsv scan example.com --authorize --header "Authorization: Bearer X" --cookie "session=abc"    # authenticated
fsv scan example.com --authorize --ct-logs        # also ask Certificate Transparency (crt.sh) for subdomains*
fsv scan example.com --authorize --no-external    # skip modules that contact hosts other than the target
fsv scan example.com --authorize --proxy env      # behind a corporate proxy (HTTPS_PROXY); or --proxy http://host:3128

# reports & fixes
fsv scan example.com --authorize -o report.html   # .md .json .html .sarif .csv
fsv report <scan_id> --format fix-nginx           # or fix-apache fix-caddy fix-express fix-dns
fsv fixes  <scan_id> nginx -o nginx-fixes.md

# triage, history, diff
fsv findings <scan_id>
fsv triage <scan_id> <finding_id> false_positive --note "test endpoint"
fsv list --target example.com   ·   fsv diff <before_id> <after_id>   ·   fsv prune --keep 50

# ownership proof (for shared deployments)           # * sends the domain name to crt.sh
fsv verify example.com   ·   fsv verify example.com --check

fsv modules   ·   fsv doctor

在 CI 中使用

# fsv.toml  (commit it; ${VAR} is read from the environment — never commit secrets)
[scan]
profile  = "balanced"
max_urls = 100
exclude  = ["/admin/*"]
max_time = 900
fail_on  = "high"
baseline = ".fsv-baseline.json"
[scan.headers]
Authorization = "Bearer ${FSV_API_TOKEN}"

fsv scan staging.example.com --authorize --write-baseline .fsv-baseline.json    # once: accept today's state
fsv scan staging.example.com --authorize                                         # every build: fails only on NEW high+ findings

# .github/workflows/security.yml
- uses: twayst0/[email protected]          # pin a release tag (or a commit SHA)
  with:
    target: https://staging.example.com
    authorized: "true"          # you confirm you may test this target
    profile: balanced
    fail-on: high
    baseline: .fsv-baseline.json

SARIF 会上传到 GitHub code scanning；HTML 报告和日志会作为构件附加。

FSV 和 OWASP ZAP

ZAP 是深入测试应用输入的合适工具——请使用它。FSV 关注应用周边的情况，涵盖典型 DAST 扫描不会检查的内容，两者搭配使用效果很好：

模块（32）

FSV 内置 32 个模块——26 个被动模块，6 个主动模块。运行 fsv modules 查看实时列表。

一个引擎，四个入口。地址策略和控制权证明由引擎负责，因此每个入口都具备这些功能；请求防护和令牌身份验证则由 Web 服务器负责。请参阅 docs/ARCHITECTURE.md。

限制——FSV 不是什么

• 它会读取 HTML；不会执行 JavaScript，因此不会发现仅在客户端渲染后才存在的内容。
• 主动检查使用无害标记检测常见的反射型类别。它不能替代渗透测试、SAST 或 SCA 工作流。
• JS 安全公告和生命周期终止数据表是经过整理的快照——重要信息请与 OSV / endoflife.date 交叉核对，并使用上述文件扩展这些数据表。
• DNS 检查的效果取决于解析器（fsv doctor 会对其进行测试）。无法响应的解析器不会产生 DNS 发现项，而不是产生错误发现项。
• 发现项带有置信度；暂定发现项只是提示。请对其进行分类处理，并告知我们误报情况——这类反馈最有助于报告 Bug。

文档

检测 · 架构 · 编写模块 · 安全部署 · 安全策略 · 参与贡献 · 更新日志

_{上方的动画 SVG 和截图由真实扫描生成：scripts/build_readme_assets.sh --screenshots。}

联系方式

twayst0 (tways) — 作者和维护者

• 电子邮件：[email protected]
• Discord：.tways
• 安全问题：请私下报告（参见 SECURITY.md），不要在公开问题中披露。

欢迎通过电子邮件或 Discord 联系，交流问题、合作和许可事宜。

许可证

MIT — 任何人均可免费使用、修改和分享，包括用于商业用途。请保留版权和许可声明。Copyright © 2026 twayst0。请参阅 LICENSE。

免责声明

本软件按“原样”提供，仅供合法、经授权的安全测试使用。 作者对误用或造成的损害不承担任何责任。测试任何非自有系统前，请务必取得书面许可。