AI时代的代码安全守门员

针对源代码的自动化安全审计工具，覆盖OWASP漏洞、硬编码密钥与危险函数调用，适合AI辅助开发后的安全验证。

基本信息

• 技能名称?Audit Code
• 中文名称?AI时代的代码安全守门员
• 作者?itsnishi
• 分类?专业技能
• 版本?1.1.1
• 标签?security, code-audit, owasp, secrets-detection, static-analysis, vulnerability-scanning, devsecops

使用方法

使用说明
核心用法
audit-code 是一个面向项目源代码的安全审计技能，通过调用 audit_code.py 脚本对指定路径进行静态分析。默认扫描 $PROJECT_ROOT ，也可通过参数指定目标目录。
检测能力
| 类别 | 具体检查项 | |------|-----------| | 硬编码密钥 | AWS/GitHub/Stripe/OpenAI/Slack API密钥、令牌、私钥、连接字符串、密码 | | 危险函数 | eval, exec, subprocess(shell=True), child_process.exec, pickle, system(), gets() | | 注入漏洞 | SQL字符串拼接/插值 | | 依赖风险 | 已知的幻觉包名、未经验证的安装 | | 敏感文件 | 已提交的 .env 文件、凭据文件 | | 权限问题 | 过度宽松的 chmod 模式 | | 数据外泄 | Base64编码+网络发送、DNS外泄、凭据文件读取 | 输出格式
生成结构化报告，按严重级别排序，包含文件路径、问题描述及可操作的修复建议。
显著优点

1. AI开发场景适配 ：专门针对AI辅助生成代码的安全验证需求设计，填补生成后审查空白
2. 覆盖全面 ：整合OWASP漏洞、密钥泄露、危险模式等多维度检查
3. 工具链集成 ：与 .claude/settings.json 的 PreToolUse hooks 形成检测+预警的互补体系
4. 非侵入式 ： disable-model-invocation: true 确保纯本地脚本执行，无外部依赖
5. 上下文隔离 ： fork 上下文保证审计过程不影响主会话状态
   局限性与风险
6. 静态分析边界 ：无法检测运行时行为、逻辑漏洞或业务层安全风险
7. 规则覆盖局限 ：依赖内置规则集，新型攻击模式（如高级供应链投毒）可能遗漏
8. 误报可能 ：合法的安全测试代码、文档示例可能被标记为敏感
9. 无强制阻断 ：Advisory hooks 仅产生警告，需手动配置 {"decision": "block"} 才能阻止执行
10. 脚本依赖 ：需要 Python3 环境，且 $SKILL_DIR/scripts/audit_code.py 必须存在
    适用人群
    使用AI辅助编码的开发团队
    需要定期安全审计的DevSecOps工程师
    审查第三方PR/MR的维护者
    追求"shift-left"安全实践的项目