映射代碼架構(gòu)與信任邊界（完整指南）)
【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項(xiàng)目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載sast-skills 是一個(gè)開(kāi)源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測(cè)試掃描器。而整個(gè)掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動(dòng)梳理代碼庫(kù)的技術(shù)棧、入口點(diǎn)、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細(xì)拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報(bào)。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開(kāi)始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個(gè)階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報(bào)告 —— 見(jiàn) sast-analysis/SKILL.md。這個(gè)克制的設(shè)計(jì)正是它能為后續(xù)所有掃描提供準(zhǔn)確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會(huì)系統(tǒng)性地探索代碼庫(kù)把以下內(nèi)容一一登記編程語(yǔ)言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊(duì)列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫(kù)SQL、NoSQL、緩存層、消息中間件認(rèn)證與授權(quán)會(huì)話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點(diǎn)HTTP 路由、GraphQL、gRPC、WebSocket、定時(shí)任務(wù)、消息消費(fèi)者它會(huì)先讀依賴清單和項(xiàng)目配置再深入源碼逐條確認(rèn)而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個(gè)維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰(shuí)調(diào)用誰(shuí)數(shù)據(jù)流—— 用戶輸入如何進(jìn)入系統(tǒng)、被處理、被存儲(chǔ)、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級(jí)—— 存在哪些角色與權(quán)限、如何強(qiáng)制、是否有管理后臺(tái)敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說(shuō)它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風(fēng)險(xiǎn)用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫(kù)SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會(huì)把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進(jìn)architecture.md。后續(xù) 13 個(gè)漏洞檢測(cè)子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時(shí)都會(huì)先讀這份文檔來(lái)鎖定各自的候選區(qū)域把“無(wú)差別全庫(kù)搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長(zhǎng)什么樣sast-analysis 最終只產(chǎn)出一個(gè)文件項(xiàng)目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語(yǔ)言、框架、數(shù)據(jù)庫(kù)、認(rèn)證機(jī)制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊(cè)、登錄、核心業(yè)務(wù)等主流程Entry Points每個(gè)入口的類型、是否要求認(rèn)證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲(chǔ)位置、訪問(wèn)方式、防護(hù)情況sast-analysis 在三步掃描流程中的位置整個(gè) sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動(dòng)驅(qū)動(dòng)共三步步驟技能產(chǎn)出① 代碼庫(kù)分析sast-analysissast/architecture.md② 漏洞檢測(cè)13 個(gè)子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報(bào)告匯總sast-reportsast/final-report.md兩個(gè)值得注意的細(xì)節(jié)sast-analysis 是唯一在主會(huì)話中執(zhí)行的步驟因?yàn)楹罄m(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點(diǎn)續(xù)跑只要sast/architecture.md已存在該步驟自動(dòng)跳過(guò)修完問(wèn)題后可安全地重跑掃描?？焖偕鲜? 步完成第一次架構(gòu)映射 ?第 1 步獲取項(xiàng)目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標(biāo)項(xiàng)目打開(kāi)工作區(qū)把待掃描項(xiàng)目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開(kāi)cp -r /path/to/your/project sast-files/?? 注意如果目標(biāo)項(xiàng)目自帶CLAUDE.md或AGENTS.md請(qǐng)先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對(duì) AI 說(shuō)Run vulnerability scan編排文件便會(huì)自動(dòng)按“sast-analysis → 并行漏洞檢測(cè) → 生成報(bào)告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見(jiàn)疑問(wèn) ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個(gè)代碼庫(kù)的架構(gòu)”單獨(dú)得到架構(gòu)文檔。Q大型項(xiàng)目會(huì)讀得成本很高嗎不會(huì)盲讀全庫(kù)。技能內(nèi)置優(yōu)先級(jí)策略大型代碼庫(kù)優(yōu)先深入安全敏感區(qū)域認(rèn)證、支付、數(shù)據(jù)訪問(wèn)、文件處理、管理功能見(jiàn) SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計(jì)哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動(dòng)完成代碼架構(gòu)映射與信任邊界分析為 13 個(gè)漏洞檢測(cè)技能提供統(tǒng)一的地基與起點(diǎn)。想進(jìn)一步了解各漏洞檢測(cè)技能的分工可參考項(xiàng)目說(shuō)明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項(xiàng)目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載相關(guān)推薦agentic-awesome-skills 代碼審計(jì)清單SAST實(shí)戰(zhàn)指南八項(xiàng)檢查點(diǎn)與 AAS 倉(cāng)庫(kù)源碼級(jí)落地agentic awesome skills 代碼審計(jì)清單SAST實(shí)戰(zhàn)指南八項(xiàng)檢查點(diǎn)與 AAS 倉(cāng)庫(kù)源碼級(jí)落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南 Pinpoint是一款強(qiáng)大的開(kāi)源APM應(yīng)用性能監(jiān)控工具通過(guò)字節(jié)碼增強(qiáng)技術(shù)實(shí)現(xiàn)分布后端可觀測(cè)性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測(cè)試SAST與結(jié)果上報(bào)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測(cè)試SAST與結(jié)果上報(bào) 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開(kāi)發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 sast-skills 第一步 sast-analysis：AI 如何自動(dòng)映射代碼架構(gòu)與信任邊界（完整指南）
【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項(xiàng)目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載sast-skills 是一個(gè)開(kāi)源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測(cè)試掃描器。而整個(gè)掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動(dòng)梳理代碼庫(kù)的技術(shù)棧、入口點(diǎn)、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細(xì)拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報(bào)。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開(kāi)始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個(gè)階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報(bào)告 —— 見(jiàn) sast-analysis/SKILL.md。這個(gè)克制的設(shè)計(jì)正是它能為后續(xù)所有掃描提供準(zhǔn)確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會(huì)系統(tǒng)性地探索代碼庫(kù)把以下內(nèi)容一一登記編程語(yǔ)言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊(duì)列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫(kù)SQL、NoSQL、緩存層、消息中間件認(rèn)證與授權(quán)會(huì)話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點(diǎn)HTTP 路由、GraphQL、gRPC、WebSocket、定時(shí)任務(wù)、消息消費(fèi)者它會(huì)先讀依賴清單和項(xiàng)目配置再深入源碼逐條確認(rèn)而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個(gè)維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰(shuí)調(diào)用誰(shuí)數(shù)據(jù)流—— 用戶輸入如何進(jìn)入系統(tǒng)、被處理、被存儲(chǔ)、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級(jí)—— 存在哪些角色與權(quán)限、如何強(qiáng)制、是否有管理后臺(tái)敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說(shuō)它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風(fēng)險(xiǎn)用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫(kù)SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會(huì)把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進(jìn)architecture.md。后續(xù) 13 個(gè)漏洞檢測(cè)子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時(shí)都會(huì)先讀這份文檔來(lái)鎖定各自的候選區(qū)域把“無(wú)差別全庫(kù)搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長(zhǎng)什么樣sast-analysis 最終只產(chǎn)出一個(gè)文件項(xiàng)目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語(yǔ)言、框架、數(shù)據(jù)庫(kù)、認(rèn)證機(jī)制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊(cè)、登錄、核心業(yè)務(wù)等主流程Entry Points每個(gè)入口的類型、是否要求認(rèn)證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲(chǔ)位置、訪問(wèn)方式、防護(hù)情況sast-analysis 在三步掃描流程中的位置整個(gè) sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動(dòng)驅(qū)動(dòng)共三步步驟技能產(chǎn)出① 代碼庫(kù)分析sast-analysissast/architecture.md② 漏洞檢測(cè)13 個(gè)子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報(bào)告匯總sast-reportsast/final-report.md兩個(gè)值得注意的細(xì)節(jié)sast-analysis 是唯一在主會(huì)話中執(zhí)行的步驟因?yàn)楹罄m(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點(diǎn)續(xù)跑只要sast/architecture.md已存在該步驟自動(dòng)跳過(guò)修完問(wèn)題后可安全地重跑掃描?？焖偕鲜? 步完成第一次架構(gòu)映射 ?第 1 步獲取項(xiàng)目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標(biāo)項(xiàng)目打開(kāi)工作區(qū)把待掃描項(xiàng)目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開(kāi)cp -r /path/to/your/project sast-files/?? 注意如果目標(biāo)項(xiàng)目自帶CLAUDE.md或AGENTS.md請(qǐng)先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對(duì) AI 說(shuō)Run vulnerability scan編排文件便會(huì)自動(dòng)按“sast-analysis → 并行漏洞檢測(cè) → 生成報(bào)告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見(jiàn)疑問(wèn) ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個(gè)代碼庫(kù)的架構(gòu)”單獨(dú)得到架構(gòu)文檔。Q大型項(xiàng)目會(huì)讀得成本很高嗎不會(huì)盲讀全庫(kù)。技能內(nèi)置優(yōu)先級(jí)策略大型代碼庫(kù)優(yōu)先深入安全敏感區(qū)域認(rèn)證、支付、數(shù)據(jù)訪問(wèn)、文件處理、管理功能見(jiàn) SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計(jì)哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動(dòng)完成代碼架構(gòu)映射與信任邊界分析為 13 個(gè)漏洞檢測(cè)技能提供統(tǒng)一的地基與起點(diǎn)。想進(jìn)一步了解各漏洞檢測(cè)技能的分工可參考項(xiàng)目說(shuō)明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項(xiàng)目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載相關(guān)推薦agentic-awesome-skills 代碼審計(jì)清單SAST實(shí)戰(zhàn)指南八項(xiàng)檢查點(diǎn)與 AAS 倉(cāng)庫(kù)源碼級(jí)落地agentic awesome skills 代碼審計(jì)清單SAST實(shí)戰(zhàn)指南八項(xiàng)檢查點(diǎn)與 AAS 倉(cāng)庫(kù)源碼級(jí)落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南 Pinpoint是一款強(qiáng)大的開(kāi)源APM應(yīng)用性能監(jiān)控工具通過(guò)字節(jié)碼增強(qiáng)技術(shù)實(shí)現(xiàn)分布后端可觀測(cè)性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測(cè)試SAST與結(jié)果上報(bào)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測(cè)試SAST與結(jié)果上報(bào) 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開(kāi)發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考