阿拉丁·代码安全审计工坊｜密钥扫描·OWASP漏洞检测·依赖许可证风险·性能反模式·安全评分闭环·CI门禁

分享海报

@user_d18c97ea/aladin-secure-forge

阿拉丁·代码安全审计工坊把"代码安全"工程化并收口成可持续闭环：①密钥/凭证泄露扫描——AWS Key/私钥/Bearer/赋值式密码/高熵字符串，带误报过滤；②OWASP SAST——SQL 注入/命令注入/XSS/SSRF/路径穿越/不安全反序列化/弱加密，附 CWE 编号与修复示例；③依赖与供应链风险——解析 package.json/requirements.txt/go.mod/pom.xml，做许可证传染性分级(SBOM) + 离线 CVE 公告匹配 + 弃用标记；④性能反模式——N+1 查询/异步阻塞 IO/灾难性正则；⑤多语言(Python/JS/TS/Java/Go 等)纯正则单遍扫描，零依赖；⑥三种报告——自包含 HTML 看板 + Markdown 摘要 + 机器可读 JSON；⑦CI 门禁——按严重度阈值非零退出，直接卡流水线；⑧修复联动——生成 fix-tasks.md 交给 aladin-code-pilot 一键修；⑨闭环验证——secure_verify.py 与上次基线比对，输出"已修复/新增/仍存续"与安全评分(100 起扣)、累积趋势库，CI 加 --fail-on-regression 即把"新增问题"卡成非零退出，防止"修了旧的、加了新"的悄悄回潮。本技能覆盖"密钥+SAST+依赖许可证+性能+闭环验证"五维、带 CWE 映射与 CI/回归门禁、可离线零依赖运行。触发词：代码安全扫描、密钥扫描、Secret 扫描、SAST、OWASP、SQL注入检测、XSS检测、依赖漏洞扫描、CVE检查、许可证风险、供应链安全、DevSecOps、CI安全门禁、代码审计、静态分析、安全评分、安全趋势、安全基线、回归门禁、漏洞闭环、code security、secret scanning、dependency audit、security scanner、security score、security baseline、regression gate。