JS代码安全检测

前端开发中，安全往往容易被忽视，但一个 innerHTML 直接插入用户输入导致的 XSS 漏洞，或者一个硬编码在源码中的 API Key，都可能引发严重的数据泄露和滥用。很多团队直到业务上线、被攻击者利用后才意识到前端安全的脆弱性。

核心检测能力

• XSS 跨站脚本攻击：识别 innerHTML、eval 以及危险的 DOM 操作等极易导致脚本注入的代码模式。
• 硬编码密钥扫描：排查源码中直接暴露的 API Key、Secret 和 Token，防止通过开发者工具或源码被轻易扒取。
• 安全配置检查：检查 CSP、HTTPS 以及混合内容等基础安全配置是否缺失或存在低级错误。
• 敏感数据泄露检测：关注 localStorage 存储密码、Cookie 未设置 HttpOnly 或明文传输敏感信息等风险。
• 此外，还支持对 CSRF/CORS 配置进行检查，并允许单次最多 5 个文件的批量扫描。

工作方式与使用流程

该技能以轻量级规则扫描为核心，可集成到现有的开发工作流中。使用时，只需将 JS/TS 代码文件的路径传递给技能，它便会自动化执行静态分析，并输出潜在的安全隐患列表。

适用边界与注意事项

当前版本主要聚焦于单文件或小批量（5 个文件）的静态规则扫描。它不包含 LLM 智能误报过滤、全项目级别的深度扫描，也不会自动生成具体的修复代码建议，这些功能均属于专业版范畴。对于复杂的大型前端工程，建议结合专业版工具或 CI/CD 流水线进行更全面的安全审计。