與信任邊界（完整指南）)
【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載sast-skills 是一個開源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測試掃描器。而整個掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動梳理代碼庫的技術(shù)棧、入口點(diǎn)、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細(xì)拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報告 —— 見 sast-analysis/SKILL.md。這個克制的設(shè)計正是它能為后續(xù)所有掃描提供準(zhǔn)確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會系統(tǒng)性地探索代碼庫把以下內(nèi)容一一登記編程語言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫SQL、NoSQL、緩存層、消息中間件認(rèn)證與授權(quán)會話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點(diǎn)HTTP 路由、GraphQL、gRPC、WebSocket、定時任務(wù)、消息消費(fèi)者它會先讀依賴清單和項目配置再深入源碼逐條確認(rèn)而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰調(diào)用誰數(shù)據(jù)流—— 用戶輸入如何進(jìn)入系統(tǒng)、被處理、被存儲、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級—— 存在哪些角色與權(quán)限、如何強(qiáng)制、是否有管理后臺敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風(fēng)險用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進(jìn)architecture.md。后續(xù) 13 個漏洞檢測子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時都會先讀這份文檔來鎖定各自的候選區(qū)域把“無差別全庫搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長什么樣sast-analysis 最終只產(chǎn)出一個文件項目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語言、框架、數(shù)據(jù)庫、認(rèn)證機(jī)制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊、登錄、核心業(yè)務(wù)等主流程Entry Points每個入口的類型、是否要求認(rèn)證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲位置、訪問方式、防護(hù)情況sast-analysis 在三步掃描流程中的位置整個 sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動驅(qū)動共三步步驟技能產(chǎn)出① 代碼庫分析sast-analysissast/architecture.md② 漏洞檢測13 個子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報告匯總sast-reportsast/final-report.md兩個值得注意的細(xì)節(jié)sast-analysis 是唯一在主會話中執(zhí)行的步驟因為后續(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點(diǎn)續(xù)跑只要sast/architecture.md已存在該步驟自動跳過修完問題后可安全地重跑掃描?？焖偕鲜? 步完成第一次架構(gòu)映射 ?第 1 步獲取項目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標(biāo)項目打開工作區(qū)把待掃描項目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開cp -r /path/to/your/project sast-files/?? 注意如果目標(biāo)項目自帶CLAUDE.md或AGENTS.md請先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對 AI 說Run vulnerability scan編排文件便會自動按“sast-analysis → 并行漏洞檢測 → 生成報告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見疑問 ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個代碼庫的架構(gòu)”單獨(dú)得到架構(gòu)文檔。Q大型項目會讀得成本很高嗎不會盲讀全庫。技能內(nèi)置優(yōu)先級策略大型代碼庫優(yōu)先深入安全敏感區(qū)域認(rèn)證、支付、數(shù)據(jù)訪問、文件處理、管理功能見 SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動完成代碼架構(gòu)映射與信任邊界分析為 13 個漏洞檢測技能提供統(tǒng)一的地基與起點(diǎn)。想進(jìn)一步了解各漏洞檢測技能的分工可參考項目說明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載相關(guān)推薦agentic-awesome-skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點(diǎn)與 AAS 倉庫源碼級落地agentic awesome skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點(diǎn)與 AAS 倉庫源碼級落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南 Pinpoint是一款強(qiáng)大的開源APM應(yīng)用性能監(jiān)控工具通過字節(jié)碼增強(qiáng)技術(shù)實現(xiàn)分布后端可觀測性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 sast-skills 第一步 sast-analysis：AI 如何自動映射代碼架構(gòu)與信任邊界（完整指南）
【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載sast-skills 是一個開源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測試掃描器。而整個掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動梳理代碼庫的技術(shù)棧、入口點(diǎn)、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細(xì)拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報告 —— 見 sast-analysis/SKILL.md。這個克制的設(shè)計正是它能為后續(xù)所有掃描提供準(zhǔn)確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會系統(tǒng)性地探索代碼庫把以下內(nèi)容一一登記編程語言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫SQL、NoSQL、緩存層、消息中間件認(rèn)證與授權(quán)會話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點(diǎn)HTTP 路由、GraphQL、gRPC、WebSocket、定時任務(wù)、消息消費(fèi)者它會先讀依賴清單和項目配置再深入源碼逐條確認(rèn)而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰調(diào)用誰數(shù)據(jù)流—— 用戶輸入如何進(jìn)入系統(tǒng)、被處理、被存儲、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級—— 存在哪些角色與權(quán)限、如何強(qiáng)制、是否有管理后臺敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風(fēng)險用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進(jìn)architecture.md。后續(xù) 13 個漏洞檢測子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時都會先讀這份文檔來鎖定各自的候選區(qū)域把“無差別全庫搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長什么樣sast-analysis 最終只產(chǎn)出一個文件項目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語言、框架、數(shù)據(jù)庫、認(rèn)證機(jī)制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊、登錄、核心業(yè)務(wù)等主流程Entry Points每個入口的類型、是否要求認(rèn)證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲位置、訪問方式、防護(hù)情況sast-analysis 在三步掃描流程中的位置整個 sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動驅(qū)動共三步步驟技能產(chǎn)出① 代碼庫分析sast-analysissast/architecture.md② 漏洞檢測13 個子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報告匯總sast-reportsast/final-report.md兩個值得注意的細(xì)節(jié)sast-analysis 是唯一在主會話中執(zhí)行的步驟因為后續(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點(diǎn)續(xù)跑只要sast/architecture.md已存在該步驟自動跳過修完問題后可安全地重跑掃描?？焖偕鲜? 步完成第一次架構(gòu)映射 ?第 1 步獲取項目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標(biāo)項目打開工作區(qū)把待掃描項目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開cp -r /path/to/your/project sast-files/?? 注意如果目標(biāo)項目自帶CLAUDE.md或AGENTS.md請先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對 AI 說Run vulnerability scan編排文件便會自動按“sast-analysis → 并行漏洞檢測 → 生成報告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見疑問 ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個代碼庫的架構(gòu)”單獨(dú)得到架構(gòu)文檔。Q大型項目會讀得成本很高嗎不會盲讀全庫。技能內(nèi)置優(yōu)先級策略大型代碼庫優(yōu)先深入安全敏感區(qū)域認(rèn)證、支付、數(shù)據(jù)訪問、文件處理、管理功能見 SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動完成代碼架構(gòu)映射與信任邊界分析為 13 個漏洞檢測技能提供統(tǒng)一的地基與起點(diǎn)。想進(jìn)一步了解各漏洞檢測技能的分工可參考項目說明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費(fèi)下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點(diǎn)擊查看免費(fèi)下載相關(guān)推薦agentic-awesome-skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點(diǎn)與 AAS 倉庫源碼級落地agentic awesome skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點(diǎn)與 AAS 倉庫源碼級落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強(qiáng)安全掃描SAST工具集成完整指南 Pinpoint是一款強(qiáng)大的開源APM應(yīng)用性能監(jiān)控工具通過字節(jié)碼增強(qiáng)技術(shù)實現(xiàn)分布后端可觀測性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考