sast-skills

收录理由

多数安全扫描工具都要求你额外搭建一套流水线，而这款工具直接跑在你已经使用的 AI 编程助手内部。它由一组 agent 技能组成，自动编排一个三步审查流程：助手先摸清代码库的技术栈、架构、入口点和数据流，然后并行启动十三个检测技能，覆盖 SQL 注入、XSS、SSRF、IDOR、JWT 实现不当等漏洞类型，最后把所有发现汇总成一份按严重程度排序的报告，并附上修复建议。每个检测技能都分两个阶段——先侦察定位可疑代码段，再验证是否真正可利用，这种设计让模型在报漏洞前先确认实际危害，而不是单纯靠模式匹配。对于不想部署专门安全工具的小团队，它直接嵌进现有工作流，能省下不少事，而且连业务逻辑缺陷（比如价格篡改、流程绕过、竞态条件）也能查，这些恰恰是传统基于特征码的扫描器容易漏掉的部分。