與信任邊界（完整指南）)
【免費下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點擊查看免費下載sast-skills 是一個開源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測試掃描器。而整個掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動梳理代碼庫的技術(shù)棧、入口點、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報告 —— 見 sast-analysis/SKILL.md。這個克制的設(shè)計正是它能為后續(xù)所有掃描提供準確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會系統(tǒng)性地探索代碼庫把以下內(nèi)容一一登記編程語言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫SQL、NoSQL、緩存層、消息中間件認證與授權(quán)會話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點HTTP 路由、GraphQL、gRPC、WebSocket、定時任務(wù)、消息消費者它會先讀依賴清單和項目配置再深入源碼逐條確認而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰調(diào)用誰數(shù)據(jù)流—— 用戶輸入如何進入系統(tǒng)、被處理、被存儲、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級—— 存在哪些角色與權(quán)限、如何強制、是否有管理后臺敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風險用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進architecture.md。后續(xù) 13 個漏洞檢測子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時都會先讀這份文檔來鎖定各自的候選區(qū)域把“無差別全庫搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長什么樣sast-analysis 最終只產(chǎn)出一個文件項目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語言、框架、數(shù)據(jù)庫、認證機制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊、登錄、核心業(yè)務(wù)等主流程Entry Points每個入口的類型、是否要求認證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲位置、訪問方式、防護情況sast-analysis 在三步掃描流程中的位置整個 sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動驅(qū)動共三步步驟技能產(chǎn)出① 代碼庫分析sast-analysissast/architecture.md② 漏洞檢測13 個子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報告匯總sast-reportsast/final-report.md兩個值得注意的細節(jié)sast-analysis 是唯一在主會話中執(zhí)行的步驟因為后續(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點續(xù)跑只要sast/architecture.md已存在該步驟自動跳過修完問題后可安全地重跑掃描。快速上手3 步完成第一次架構(gòu)映射 ?第 1 步獲取項目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標項目打開工作區(qū)把待掃描項目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開cp -r /path/to/your/project sast-files/?? 注意如果目標項目自帶CLAUDE.md或AGENTS.md請先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對 AI 說Run vulnerability scan編排文件便會自動按“sast-analysis → 并行漏洞檢測 → 生成報告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見疑問 ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個代碼庫的架構(gòu)”單獨得到架構(gòu)文檔。Q大型項目會讀得成本很高嗎不會盲讀全庫。技能內(nèi)置優(yōu)先級策略大型代碼庫優(yōu)先深入安全敏感區(qū)域認證、支付、數(shù)據(jù)訪問、文件處理、管理功能見 SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動完成代碼架構(gòu)映射與信任邊界分析為 13 個漏洞檢測技能提供統(tǒng)一的地基與起點。想進一步了解各漏洞檢測技能的分工可參考項目說明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點擊查看免費下載相關(guān)推薦agentic-awesome-skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點與 AAS 倉庫源碼級落地agentic awesome skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點與 AAS 倉庫源碼級落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強安全掃描SAST工具集成完整指南 Pinpoint是一款強大的開源APM應(yīng)用性能監(jiān)控工具通過字節(jié)碼增強技術(shù)實現(xiàn)分布后端可觀測性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 sast-skills 第一步 sast-analysis：AI 如何自動映射代碼架構(gòu)與信任邊界（完整指南）
【免費下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點擊查看免費下載sast-skills 是一個開源的 AI Agent 安全掃描技能集合能把 Claude Code、Codex、Cursor 等 AI 編程助手變成功能完整的 SAST靜態(tài)應(yīng)用安全測試掃描器。而整個掃描流程的第一步、也是地基就是sast-analysis技能在尋找任何漏洞之前它先自動梳理代碼庫的技術(shù)棧、入口點、數(shù)據(jù)流與信任邊界產(chǎn)出一份結(jié)構(gòu)化的architecture.md架構(gòu)文檔。下面詳細拆解 sast-analysis 的工作原理并帶你快速上手。為什么“先理解、再掃描”sast-analysis 的定位 傳統(tǒng) SAST 工具依賴規(guī)則匹配常常產(chǎn)生大量誤報。sast-skills 的思路不同讓 LLM 扮演安全工程師先徹底讀懂代碼再開始找漏洞。sast-analysis 就是“讀懂代碼”的這一步。技能定義中明確寫道這個階段“NOT looking for specific vulnerabilities yet”即純偵察、不做漏洞報告 —— 見 sast-analysis/SKILL.md。這個克制的設(shè)計正是它能為后續(xù)所有掃描提供準確“地圖”的原因。sast-analysis 的兩階段工作流程Phase 1技術(shù)棧偵察Technology ReconnaissanceAI 會系統(tǒng)性地探索代碼庫把以下內(nèi)容一一登記編程語言及版本框架Web 框架、ORM 層、模板引擎、任務(wù)隊列依賴清單package.json、requirements.txt、go.mod、pom.xml等基礎(chǔ)設(shè)施線索Dockerfile、docker-compose、K8s 清單、CI/CD 配置數(shù)據(jù)庫SQL、NoSQL、緩存層、消息中間件認證與授權(quán)會話配置、JWT、OAuth/OIDC、API Key 模式外部集成第三方支付、郵件服務(wù)、云 SDK、Webhook入口點HTTP 路由、GraphQL、gRPC、WebSocket、定時任務(wù)、消息消費者它會先讀依賴清單和項目配置再深入源碼逐條確認而不是只掃配置文件。Phase 2架構(gòu)映射Architecture Mapping在偵察結(jié)果之上AI 構(gòu)建五個維度的心智模型服務(wù)邊界—— 單體還是微服務(wù)誰調(diào)用誰數(shù)據(jù)流—— 用戶輸入如何進入系統(tǒng)、被處理、被存儲、被返回信任邊界—— 系統(tǒng)在哪些位置跨越“可信 → 不可信”的上下文權(quán)限等級—— 存在哪些角色與權(quán)限、如何強制、是否有管理后臺敏感數(shù)據(jù)清單—— PII、憑據(jù)、令牌、金融數(shù)據(jù)存在哪里、如何流轉(zhuǎn)信任邊界是什么為什么它最關(guān)鍵 ?信任邊界Trust Boundary是新手最容易忽略、卻最決定掃描質(zhì)量的概念。通俗地說它是數(shù)據(jù)從“可信區(qū)”跨入“不可信區(qū)”的每一條接縫信任邊界典型風險用戶輸入 → 后端服務(wù)注入攻擊、XSS后端服務(wù) → 數(shù)據(jù)庫SQL 注入、數(shù)據(jù)泄露服務(wù) → 服務(wù) / 第三方SSRF、IDOR服務(wù)器 → 客戶端敏感數(shù)據(jù)暴露sast-analysis 會把每一條信任邊界以及“上面跨越的是什么數(shù)據(jù)”都寫進architecture.md。后續(xù) 13 個漏洞檢測子代理SQLi、XSS、RCE、SSRF、IDOR 等并行工作時都會先讀這份文檔來鎖定各自的候選區(qū)域把“無差別全庫搜索”變成“按圖索驥”。產(chǎn)出的 architecture.md 長什么樣sast-analysis 最終只產(chǎn)出一個文件項目根目錄下的sast/architecture.md結(jié)構(gòu)固定、便于后續(xù)步驟解析章節(jié)內(nèi)容Technology Stack語言、框架、數(shù)據(jù)庫、認證機制、基礎(chǔ)設(shè)施、外部服務(wù)Architecture Overview單體 vs 微服務(wù)、組件交互方式Data Flow注冊、登錄、核心業(yè)務(wù)等主流程Entry Points每個入口的類型、是否要求認證Trust Boundaries每條信任邊界及跨越它的內(nèi)容Sensitive Data Inventory數(shù)據(jù)類型、存儲位置、訪問方式、防護情況sast-analysis 在三步掃描流程中的位置整個 sast-skills 的編排由入口文件 CLAUDE.mdClaude Code 用或 AGENTS.mdOpencode、Cursor 等用自動驅(qū)動共三步步驟技能產(chǎn)出① 代碼庫分析sast-analysissast/architecture.md② 漏洞檢測13 個子代理并行sast-sqli、sast-xss、sast-rce 等sast/*-results.md③ 報告匯總sast-reportsast/final-report.md兩個值得注意的細節(jié)sast-analysis 是唯一在主會話中執(zhí)行的步驟因為后續(xù)所有步驟都要讀取它的輸出流程內(nèi)置斷點續(xù)跑只要sast/architecture.md已存在該步驟自動跳過修完問題后可安全地重跑掃描。快速上手3 步完成第一次架構(gòu)映射 ?第 1 步獲取項目git clone https://gitcode.com/gh_mirrors/sa/sast-skills第 2 步放入目標項目打開工作區(qū)把待掃描項目復(fù)制到sast-files目錄然后在 AI 編程助手中以sast-files作為工作區(qū)打開cp -r /path/to/your/project sast-files/?? 注意如果目標項目自帶CLAUDE.md或AGENTS.md請先刪除避免與本工具包的編排文件沖突。第 3 步一句話發(fā)起掃描對 AI 說Run vulnerability scan編排文件便會自動按“sast-analysis → 并行漏洞檢測 → 生成報告”的順序執(zhí)行你只需看著它閱讀代碼并寫出architecture.md。新手常見疑問 ?Q能否只跑 sast-analysis不做完整掃描可以。它的觸發(fā)條件就是“sast/architecture.md尚不存在”你可以直接讓 AI “分析這個代碼庫的架構(gòu)”單獨得到架構(gòu)文檔。Q大型項目會讀得成本很高嗎不會盲讀全庫。技能內(nèi)置優(yōu)先級策略大型代碼庫優(yōu)先深入安全敏感區(qū)域認證、支付、數(shù)據(jù)訪問、文件處理、管理功能見 SKILL.md。官方推薦 Claude Code Opus 模型若在意成本任何你信任的 IDE 與模型均可。小結(jié)sast-analysis 體現(xiàn)了 sast-skills 的核心設(shè)計哲學(xué)好的安全掃描始于一張好的“地圖”。它讓 AI 先自動完成代碼架構(gòu)映射與信任邊界分析為 13 個漏洞檢測技能提供統(tǒng)一的地基與起點。想進一步了解各漏洞檢測技能的分工可參考項目說明 README.md或直接瀏覽 sast-files/.claude/skills/ 目錄下的完整技能清單。贊分享【免費下載鏈接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.項目地址https://gitcode.com/gh_mirrors/sa/sast-skills點擊查看免費下載相關(guān)推薦agentic-awesome-skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點與 AAS 倉庫源碼級落地agentic awesome skills 代碼審計清單SAST實戰(zhàn)指南八項檢查點與 AAS 倉庫源碼級落地 本指南圍繞 code audit 技能 hAI 技能AI 插件Pinpoint Agent字節(jié)碼增強安全掃描SAST工具集成完整指南Pinpoint Agent字節(jié)碼增強安全掃描SAST工具集成完整指南 Pinpoint是一款強大的開源APM應(yīng)用性能監(jiān)控工具通過字節(jié)碼增強技術(shù)實現(xiàn)分布后端可觀測性APM鏈路追蹤微服務(wù)Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報Snyk CLI snyk code test 命令完全指南靜態(tài)代碼安全測試SAST與結(jié)果上報 本指南以 Snyk CLI 官方命令文檔 code tes應(yīng)用安全漏洞掃描供應(yīng)鏈安全CLI開發(fā)工具DevSecOps創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考