代码安全漏洞扫描

要解决的具体问题

代码上线前或安全审计时，人工排查往往耗时长且容易疏漏。面对 SQL 注入、XSS、CSRF、敏感信息泄露、权限缺失等高频漏洞，工程师需要一个能快速定位风险并给出修复方向的自查工具，而不是逐行翻阅庞大的代码库。

核心能力与工作流

该技能以应用安全专家的角色运作，严格依据 OWASP Top 10 对输入代码进行分类扫描。其工作流清晰分为四步：

• 步骤 1：接收待检测的 代码片段+语言 作为输入。
• 步骤 2：按 OWASP 分类扫描五类常见安全漏洞。
• 步骤 3：输出结构化的漏洞报告，并标注对应风险等级。
• 步骤 4：针对每个漏洞给出可直接参考的修复代码示例。

适用边界与注意点

• 定位为上线前自查参考，不替代专业安全审计。
• 遇到混淆代码时，会提示提供可读版本或架构说明，以保证扫描准确性。
• 与商业工具相比，更适合快速预筛；生产环境的完整保障仍需结合商业工具与人工审计。