安全分控核查

要解决什么问题

上线前或接手遗留仓库时，你往往缺少一张「可对照证据」的质量清单：工具链是否真跑过、外网依赖能否在内网落地、依赖漏洞是否被低估、等保/PIPL 是否在代码层有缺口。手工翻目录和跑零散命令很难形成统一优先级，还容易在「顺手改两行」时把现场弄脏。

技能如何工作

/bn-project-check 把项目当作体检对象：只读扫描仓库（读文件、跑 tsc/lint/test/npm audit 等检测命令），唯一写入目标是当前目录下的 .bn_qa/。

执行上大致分几步：

• 环境感知与规模分级（S/M/L/XL）：按文件量与依赖规模调节 grep 采样、检测深度与 WebSearch 配额，避免小项目过扫、大项目欠扫。
• 十维扫描：代码质量、资源占用、内网可行性、死代码、设计合理性、复用性、健壮性、拓展性、安全性，以及面向中国场景的 D10 合规（等保对标、信创、数据安全法/PIPL、密评、供应链等子项）。
• 网络增强（按需）：对内网依赖、CVE、合规政策等调用 WebSearch，结论需标注来源；不可用时会标明跳过，本地分析仍继续。
• 诊断 + 处方：每条发现带 文件:行号 证据、0–10 分，以及 💡 解决思路（步骤、代码方向、耗时、P0/P1/P2）。

用户可用关键词聚焦维度（如「安全」「内网」「合规」），在全量扫描后再做该维度的加深检查。

适用边界与注意点

这是诊断报告，不是自动修复：不得改 package.json、源码或跑 npm install 等变更操作。未配置的工具链会标注「未测量」，分数不会凭空拔高。D10 默认以等保三级为参照，不构成法律意见；无中国合规信号时可能标记为不适用，但仍可保留等保对标参考。