安全风险扫描器

解决哪些安全盲区

多数静态审查工具只盯着 OWASP Top 10 里的经典漏洞，却对系统承载能力视而不见。研发团队常能堵住 SQL 注入的口子，却放任接口无限速、文件上传不设限，甚至让库存扣减在高并发下被击穿。这种「能被打瘫」的风险往往比单纯的「能被攻破」更具破坏性。

本技能专门填补这一空白。它在传统的注入、认证、加密审查之上，将资源滥用与并发竞态列为重点检查项，确保代码不仅能防住恶意探针，还能在流量洪峰下保持平稳。

核心能力与关键步骤

技能采用三阶段审查法，输出结果遵循工程逻辑，而非堆砌通用建议：

• 项目侦察：先识别技术栈与现有安全基线。修复建议必须复用项目已有的 Prisma 或 Spring Security 模式，不强制引入新依赖。
• 分领域审查：按后端、前端、资源滥用三个维度并行扫描，深入追踪 TOCTOU、无原子性库存扣减及前端无退避循环请求等逻辑漏洞。
• 假阳性过滤：内置严格的剔除规则。只有存在明确可复现攻击路径的发现才会被保留，置信度低于 0.7 的风险会被自动剔除并记录理由。

适用边界

它主要作为定期深度体检工具，适合在发版前或每月进行全项目扫描。对于日常 PR 的快速变更，官方 security-review 依然是更轻量的选择。

需注意，该技能执行全面扫描耗时较长（约 15-30 分钟），不应作为实时 IDE 插件使用。