技能介绍

它解决什么问题

AI 辅助编程普及之后，代码库里多了大量模型生成的片段。这些片段通常能编译、也能跑起来，但可能带着 SQL 注入、硬编码密钥、未校验的用户输入等问题。传统 SAST 工具面向静态代码库设计，遇到 AI 生成的临时代码、脚手架代码时，要么漏报，要么误报。CodeGuard MCP 定位的正是这个场景：在开发环境中对当前这段代码做一次实时安全审查，而不是等它进仓库之后才被扫描。

核心能力与工作方式

这个技能把大模型定位为路由层：模型负责理解用户意图、从 scripts.tools 中挑选合适的工具函数、提取参数，真正的扫描动作由后端 API 完成。目前提供五类工具：

scripts.tools.scanCode：综合扫描，一次覆盖漏洞、密钥与合规问题，需要传入 code、language、securityLevel 三个参数。
scripts.tools.scanVulnerabilities：只做漏洞快扫，参数为 code 与 language。
scripts.tools.detectSecrets：专门查找暴露的密钥、API Key 和凭据，只需传入 code。
scripts.tools.suggestSecureFix：针对已发现的漏洞生成安全修复建议，需要传入 vulnerability 对象和 context 上下文。
scripts.tools.checkCompliance：按指定合规标准（GDPR、HIPAA、SOC2、PCI DSS）检查代码，需要传入 code、securityLevel 与 standards 数组。

接入前提与注意点

技能必须在 .env 中配置 XBY_APIKEY 才能工作。规范明确要求：首次使用时如果未检测到密钥，模型必须通过 AskUserQuestion 向用户询问，拿到后再调用 scripts.config.set_api_key(api_key) 保存；缺少密钥时禁止自行搜索或编造数据。参数不完整时同样要向用户追问缺失项，而不是猜测填充。工具返回的是包含 raw、success、message 三个字段的 dict，其中 raw 是 API 的原始 JSON 数据，需要整理后再展示给用户。