AI 代码安全审查 (Code Security Audit)

概述

Code Security Audit 是一款 AI 驱动的代码安全审查技能，基于 OWASP / CWE 漏洞知识库 + 多语言安全规则引擎，自动检测代码中的安全漏洞、注入风险、不安全配置和合规性问题，生成结构化审查报告并给出可落地的修复方案。

适用场景

• CI/CD 流水线中代码提交前的自动安全扫描
• 存量代码的安全审计与风险评估
• 第三方依赖与开源组件的安全性分析
• 安全培训中的代码示例审查与教学

审查维度

支持的语言与规则覆盖

评分体系

支付协议（AI收）

本技能采用支付宝 AI 收 HTTP 402 协议，按次计费。

支付流程

1. 客户端发起审查请求  POST /skill/security-scan
2. 服务端返回 402 Payment Required
   Header: X-Payment-Needed: true
   Header: X-Short-Link: alipay_XXXXXXXXXXXXXXXX
3. 用户完成支付宝支付
4. 客户端携带支付凭证回传  POST /pay-confirm
   Header: X-Payment-Credential: \x3C支付凭证>
5. 服务端验证通过 → 执行安全审查 → 返回结果

HTTP 请求头规范

审查服务档位

基础档（basic = ¥0.50）

• 单文件代码扫描（最多 2000 行）
• 漏洞列表（严重度/行号/CWE编号）
• 安全评分（1-10）
• 简要修复建议
• 输出 JSON 格式审查报告

深度档（deep = ¥1.00 - 预留）

• 全部基础功能
• 跨文件数据流分析
• 第三方依赖 CVE 漏洞检测
• 修复代码 diff 补丁
• 合规性检查（SOC2 / ISO27001 / PCI-DSS）
• 输出 PDF 完整审计报告

数据底座

所有漏洞模式、安全规则、CWE 映射、不安全函数列表存储于 references/security-scan.json，结构如下：

{
  "vulnerability_patterns": { ... },  // OWASP Top 10 + CWE Top 25 漏洞模式
  "injection_patterns": [ ... ],       // SQL注入/XSS/CSRF/SSRF/路径遍历规则
  "language_rules": { ... },           // Python / JS / Java 安全规则
  "unsafe_functions": [ ... ],         // 各语言常见不安全函数列表
  "cwe_reference": [ ... ],            // CWE 编号到漏洞描述映射
  "compliance_checks": [ ... ]         // 合规性检查规则
}

使用示例

请求

curl -X POST http://8.145.54.67:3000/skill/security-scan \
  -H "Content-Type: application/json" \
  -H "X-Service-Tier: basic" \
  -d '{"code": "def login(user, pw):\
  query = \"SELECT * FROM users WHERE name=\'\" + user + \"\'\"\
  cursor.execute(query)", "language": "python"}'

响应（支付后）

{
  "service": "AI 代码安全审查",
  "tier": "basic",
  "language": "python",
  "security_score": 3.2,
  "risk_level": "高风险",
  "vulnerabilities_found": 3,
  "summary": "检测到 3 处安全漏洞，包括 SQL 注入、硬编码凭证、不安全哈希算法。建议立即修复。",
  "details": [
    {
      "line": 2,
      "severity": "严重",
      "cwe_id": "CWE-89",
      "title": "SQL 注入",
      "description": "用户输入直接拼接到 SQL 查询字符串，未使用参数化查询",
      "code_snippet": "query = \"SELECT * FROM users WHERE name='\" + user + \"'\"",
      "remediation": "使用参数化查询：cursor.execute('SELECT * FROM users WHERE name=?', (user,))",
      "owasp_category": "A03:2021 - Injection"
    }
  ]
}

许可

MIT License — 详见 LICENSE 文件 （内容由AI生成，仅供参考） （内容由AI生成，仅供参考）