Audit Code

audit-code 技能评估

核心用法

audit-code 是一款面向项目的自动化安全审计工具，通过 Python 脚本对代码库进行静态分析，识别潜在安全漏洞。使用时通过 $SKILL_DIR/scripts/audit_code.py 执行扫描，可指定目标路径或默认扫描整个项目根目录。

显著优点

1. 覆盖全面：集成 8 大类安全检查，包括硬编码密钥（AWS、GitHub、Stripe、OpenAI、Slack 等）、危险函数调用（eval、exec、subprocess.shell=True 等）、SQL 注入、依赖风险、敏感文件泄露、文件权限问题及数据外泄模式
2. AI 开发友好：专门针对 AI 辅助编程场景设计，可检测 AI 生成代码中常见的安全陷阱
3. 输出结构化：提供按严重程度排序的发现报告，附带文件位置定位和可操作建议
4. 使用灵活：支持提交前检查、PR 审查、定期审计等多种场景

潜在缺点与局限性

• 静态分析局限：无法检测运行时逻辑漏洞、业务层安全问题或复杂的攻击链
• 规则依赖：基于预定义模式匹配，可能产生误报或漏检新型攻击向量
• 无主动验证：仅识别可疑模式，不实际测试漏洞可利用性
• 语言覆盖：文档未明确支持语言范围，Python/JS/Shell 检测能力较强，其他语言可能有限
• 无模型调用：disable-model-invocation: true 意味着纯本地规则引擎，缺乏 AI 增强分析能力

适合人群

• 需要在提交前快速自检的开发者
• 审查第三方代码贡献的维护者
• 采用 AI 编程工具后需验证输出安全性的团队
• 缺乏专业安全审计资源的中小项目

常规风险

| 风险类型 | 说明 |

|---------|------|

| 误报疲劳 | 大量低危警报可能导致开发者忽视真正问题 |

| 虚假安全感 | 通过扫描不代表代码绝对安全，复杂漏洞仍需人工审计 |

| 密钥残留 | 若脚本本身存在漏洞，扫描过程可能意外暴露敏感信息 |

| 权限需求 | `Bash` 工具调用可能需要较高文件访问权限 |

综合建议

作为代码安全的"第一道防线"值得纳入工作流，但不应替代安全专家的深度审计，关键系统建议结合 SAST/DAST 商业工具使用。

核心用法

audit-code 是一个专为 AI 辅助开发场景设计的静态代码安全审计工具。用户通过调用 python3 "$SKILL_DIR/scripts/audit_code.py" "$ARGUMENTS" 执行扫描，默认扫描 $PROJECT_ROOT 目录。工具输出结构化报告，按严重等级排列发现项，并提供可操作的修复建议。

检测覆盖范围

• 硬编码密钥：AWS、GitHub、Stripe、OpenAI、Slack API 密钥，私钥，连接字符串
• 危险函数：eval、exec、subprocess(shell=True)、child_process.exec、pickle、gets() 等
• 注入漏洞：SQL 字符串拼接/插值模式
• 供应链风险：幻觉包名、未验证安装
• 敏感文件泄露：.env 文件误提交 git、凭据文件
• 权限问题：过度宽松的 chmod 模式
• 数据外泄：Base64 编码+网络发送、DNS 外带、凭据文件读取

显著优点

• 零依赖安全：仅使用 Python 标准库（re、os、stat、pathlib、sys、typing、dataclasses、enum），无第三方包，供应链攻击面为零
• 纯本地执行：无任何网络请求，所有操作局限于文件读取和正则匹配
• AI 场景适配：专门针对 AI 生成代码的常见漏洞模式设计检测规则
• 输出结构化：提供严重等级、文件位置、修复步骤，便于集成到 CI/CD

潜在局限

• 误报风险：正则模式匹配可能将合法代码误判（如 password 变量被识别为硬编码密码）
• 静态分析局限：无法检测运行时漏洞、复杂控制流导致的安全问题
• 规则覆盖盲区：新型攻击向量（如特定框架的漏洞）可能未纳入检测
• 无深度语义分析：基于模式匹配而非 AST 或符号执行，精度有限

适合人群

• AI 辅助编程用户，需要快速审查生成代码的安全性
• 个人开发者和小团队在提交代码前的自检
• 开源项目维护者审查第三方贡献（PR 预检）
• 需要轻量级、无依赖安全扫描的教育和演示场景

常规风险

• T3 来源可信度：维护者为随机字符串标识，无可查证的 GitHub 仓库或信誉数据，无法验证真实身份和长期维护能力
• 匿名维护风险：若 Skill 后续更新被篡改，难以追溯责任
• 模式库时效性：安全威胁不断演变，内置规则可能落后于新型漏洞

使用建议

适合作为快速初筛工具，但关键生产环境建议结合人工审查、SAST 商业工具（如 Semgrep、CodeQL）及动态测试使用。