核心用法
bug-audit 是一套面向 Node.js Web 项目的动态化漏洞审计框架，其最大特点在于"先画像、后审计"——拒绝千篇一律的固定检查清单，而是通过项目特征识别（技术栈、业务场景、代码规模、风险信号）智能生成针对性审计计划。
标准执行流程（8 轮递进式审计）：
1. Project Profile（5分钟）：扫描关键文件，识别技术栈（Express/Socket.IO/Phaser/Three.js等）、数据库类型、业务标签（游戏/爬虫/微信/实时通信等）、风险信号（代码密度、用户系统、定时任务等）
2. Build Plan：基于画像从模块库中动态选取审计模块，而非全量执行
3. Execute：按风险优先级执行 8 轮审计——语法检查 → 安全 → 核心逻辑 → 用户路径模拟 → 红队攻击 → 性能内存 → 配置兼容 → 部署验证
4. Regression + Live Verify：修复回归验证 + 线上冒烟测试
5. Archive：更新项目审计档案，积累组织级 bug 知识库
显著优点
| 维度 | 优势 |
|------|------|
| **智能适配** | 游戏项目自动聚焦物理引擎与并发状态同步；爬虫项目重点审计任务可靠性；微信生态专项处理 JS-SDK 兼容与调试痛点 |
| **风险驱动** | 识别到登录/资源系统即触发安全+经济漏洞双重审计；识别到模块化重构即增加跨文件引用回归检查 |
| **工程闭环** | 强制回归验证 + 实时冒烟测试 + 档案沉淀，避免"检出即结束"的审计陷阱 |
| **弹性收敛** | 连续两轮零新增 bug 即终止，小项目（<1000行）自动压缩至 3-4 轮 |
潜在局限
- 语言绑定：仅覆盖 Node.js 运行时，Java/Go/Python 后端需适配改造
- 依赖人工判读："画像→计划"环节需 Auditor 主动判断标签权重，自动化程度有限
- 模块库深度：特定领域（如金融级加密合规、大规模分布式事务）需额外扩展模块
- WeChat 生态特殊性：WebView 调试痛点、ES6 兼容性、CDN 策略等需经验积累，文档中提及但实操门槛仍在
适合人群
- 独立开发者/小团队：缺乏专职 QA，需结构化兜底方案
- 游戏开发团队：使用 Phaser/Three.js/Canvas 的 H5 游戏项目，物理引擎与状态同步是重灾区
- 微信生态开发者：小程序、公众号、企微应用等需处理 OAuth、JS-SDK、WebView 兼容
- 数据工具开发者：爬虫、定时任务、飞书/钉钉集成等，需保障任务可靠性与错误隔离
- 技术负责人：建立组织级 bug 档案，沉淀
references/pitfalls.md知识库
常规风险
| 风险场景 | 缓解建议 |
|----------|----------|
| 审计流于形式 | 强制"画像→计划→回归"三节点，缺一不可 |
| 模块选取过度依赖经验 | 建立 `pitfalls.md` 查表机制，降低判断方差 |
| 修复引入回归 | 模块化重构后必做跨文件引用验证 |
| 部署后失效 | Archive 阶段强制线上冒烟测试（首页 200、核心 API 有效、登录流、主功能）|