技能介绍

要解决什么问题

日常开发里，SQL 注入、XSS、硬编码密钥这类问题往往要到 Code Review 或上线前才暴露；传统 SAST 多半只给 CWE 编号和行号，不会告诉你怎么改。多语言仓库还要换多套工具，片段式粘贴又容易误报、漏报。业务侧的越权、竞态等逻辑问题，单靠规则匹配更难看出来。

技能如何工作

本技能把 OWASP Top 10、CWE/CVE 等标准与语义理解结合起来，对你提供的源码做静态安全审计，并按严重 / 高危 / 中危 / 低危 / 信息五级排序。

语言与漏洞面：覆盖 Python、Java、JS/TS、Go、Rust、C/C++、PHP、Ruby、Swift、Kotlin、Solidity 等 12 种语言；检测注入、认证授权、敏感数据、输入校验、依赖风险、部分业务逻辑类等 50+ 模式。
上下文：说明语言与框架（如 Django、Spring、Express）后，会结合调用链与数据流做判断；上下文越完整，注入类等典型问题检出越稳。
输出：每条发现通常包含原理说明、问题片段标注、修复代码示例与参考链接，便于对照改代码而非只记编号。
流程：粘贴代码或文件 → 可选标注语言/框架与关注风险 → 生成审计报告 → 按优先级处理修复项。
独立模式：网络不可用时可降级为内置规则库的离线审计；报告会标明规则库截止日期，新型 CVE 与部分逻辑类检出会弱于在线模式。

适用边界

这是辅助型静态审计，不能替代渗透测试或合规出证；也不审计二进制、配置文件与环境变量。OWASP 常见注入类在完整上下文下检出率资料约为 85%–92%，仍有 8%–15% 误报；业务逻辑类约 50%–70%，需你补充接口、鉴权与路由等上下文。修复示例需结合业务改完再测，不宜直接复制上线。单次建议控制在约 1000 行以内；更长代码会分段、优先扫入口与鉴权相关模块。