ci(sast): ajoute bandit + remontée SARIF vers l'onglet Security

- .github/workflows/sast.yml : bandit sur push/PR vers main, fail si
  severity ≥ MEDIUM. Upload SARIF (toutes sévérités) consommé par
  l'onglet Security du repo via codeql-action/upload-sarif.
- pyproject.toml [tool.bandit] : exclut tests/assets/build/dist, skip
  B110/B112 (try/except: pass défensif sur sockets et parse EXIF —
  motif intentionnel documenté dans CLAUDE.md).
- utils.py: hashlib.md5(usedforsecurity=False) — l'empreinte sert à la
  déduplication, pas à la sécurité (silence CWE-327 à juste titre).
- READMEs : badge SAST live de l'action ajouté à côté du badge tests.
- CLAUDE.md : nouvelle entrée Conventions décrit le périmètre bandit.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

Author: doby

.github/workflows/sast.yml

@@ -0,0 +1,46 @@
+name: sast
+
+on:
+  push:
+    branches: [main, master]
+  pull_request:
+    branches: [main, master]
+  workflow_dispatch:
+
+permissions:
+  contents: read
+  security-events: write   # SARIF upload → onglet Security du repo
+
+jobs:
+  bandit:
+    name: bandit (Python SAST)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: actions/setup-python@v5
+        with:
+          python-version: '3.12'
+          cache: pip
+          cache-dependency-path: pyproject.toml
+
+      - name: Install bandit
+        run: pip install 'bandit[toml,sarif]'
+
+      # Affichage humain dans le log (fail si severity ≥ MEDIUM).
+      - name: Bandit — rapport console
+        run: bandit -r nikon_transfer -c pyproject.toml --severity-level medium
+
+      # Génère un SARIF complet (toutes sévérités) pour l'onglet Security.
+      # `continue-on-error` : la qualité du rapport ne doit pas planter le job
+      # si la sévérité console a déjà tranché.
+      - name: Bandit — rapport SARIF
+        if: always()
+        run: bandit -r nikon_transfer -c pyproject.toml -f sarif -o bandit.sarif || true
+
+      - name: Upload SARIF vers GitHub Security
+        if: always()
+        uses: github/codeql-action/upload-sarif@v3
+        with:
+          sarif_file: bandit.sarif
+          category: bandit

CLAUDE.md

@@ -139,6 +139,11 @@ ne pas les défaire sans raison.
 - CI : `.github/workflows/tests.yml` lance `pytest --cov` sur Ubuntu × {3.11, 3.12,
   3.13} + un run macOS 3.12. Aucun secret requis, aucune dépendance externe — les
   tests sont 100 % stdlib + `pytest`/`pytest-cov` (extra `[dev]`).
+- SAST : `.github/workflows/sast.yml` lance `bandit` (config dans `[tool.bandit]`
+  de `pyproject.toml`) sur le package, fail si severity ≥ MEDIUM. Upload SARIF
+  vers l'onglet Security du repo. **B110 / B112 skipés** : nos `try/except: pass`
+  sur les sockets et le parse EXIF sont du *best-effort* défensif intentionnel —
+  ne pas les transformer en `log+raise` sans réfléchir.
 - Tailles d'octets : `format_size` (base 1024, pour la taille des fichiers)
   vs `format_storage_size` (base 1000 SI, pour l'affichage carte mémoire — colle
   à l'étiquette « 32 Go » du fabricant). Ne pas mélanger.

README.fr.md

@@ -8,6 +8,7 @@ abandonnée et cassée sur les macOS récents), pas de `libgphoto2`. Le cœur es
 en **Python stdlib pur** ; la GUI optionnelle ajoute PySide6 + Pillow.
 
 [![tests](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/tests.yml/badge.svg)](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/tests.yml)
+[![sast](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/sast.yml/badge.svg)](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/sast.yml)
 [![python](https://img.shields.io/badge/python-3.11%2B-blue)]()
 [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 

README.md

@@ -8,6 +8,7 @@ on recent macOS), no `libgphoto2`. The core is **pure Python stdlib**; the optio
 GUI adds PySide6 + Pillow.
 
 [![tests](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/tests.yml/badge.svg)](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/tests.yml)
+[![sast](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/sast.yml/badge.svg)](https://github.com/doby/nikon-transfer-wifi-dseries/actions/workflows/sast.yml)
 [![python](https://img.shields.io/badge/python-3.11%2B-blue)]()
 [![license](https://img.shields.io/badge/license-MIT-lightgrey)]()
 

nikon_transfer/utils.py

@@ -39,7 +39,10 @@ def _read_uint16_array(data: bytes, offset: int) -> tuple[list[int], int]:
 
 
 def md5_file(path: Path) -> str:
-    h = hashlib.md5()
+    # usedforsecurity=False : empreinte utilisée pour la déduplication de
+    # fichiers, pas pour de la signature — MD5 reste adapté et plus rapide
+    # que SHA-256. Le flag fait taire les SAST (CWE-327) à juste titre.
+    h = hashlib.md5(usedforsecurity=False)
     with open(path, "rb") as f:
         for chunk in iter(lambda: f.read(65536), b""):
             h.update(chunk)

pyproject.toml

@@ -55,3 +55,13 @@ addopts   = "-v --tb=short"
 [tool.coverage.run]
 source = ["nikon_transfer"]
 omit   = ["tests/*"]
+
+[tool.bandit]
+# SAST appliqué uniquement au package — `tests/` mocke des sockets et `assets/`
+# n'est que de l'outillage dev.
+exclude_dirs = ["tests", "assets", "build", "dist", ".venv", "venv"]
+# B110 (try/except/pass) et B112 (try/except/continue) : motif de tolérance
+# défensive volontaire pour les opérations réseau (close d'une socket déjà
+# morte, skip d'un objet caméra dont les méta sont corrompues, parse d'un
+# sub-IFD EXIF optionnel). Voir CLAUDE.md §« Pièges PTP/IP ».
+skips = ["B110", "B112"]