SafeWeave

SafeWeave

用于扫描 AI 编写代码的安全扫描器。SafeWeave 通过 MCP 在 AI 编辑器（Claude Code、Cursor、VS Code、Windsurf）中运行，检查代码中的漏洞、泄露的密钥、不安全的依赖项、IaC 和容器问题，让助手能在同一轮对话中修复发现的问题。

• npm： safeweave-mcp
• 官方 MCP 注册表： dev.safeweave/safeweave
• 网站： safeweave.dev · 无需注册即可在 safeweave.dev/scan 试用扫描

此代码库是 SafeWeave 的开源核心部分：扫描器引擎（packages/scanners）、扫描网关（packages/gateway）、共享类型（packages/common）、Docker 文件和 Claude Code 技能。MCP 服务本身通过 npm 发布。

快速开始

运行一条命令。它会下载扫描器，并配置找到的每个编辑器：

npx -y safeweave-mcp

或者自行将其添加到编辑器的 MCP 配置中：

{
  "mcpServers": {
    "safeweave": {
      "command": "npx",
      "args": ["-y", "safeweave-mcp"],
      "env": {
        "SAFEWEAVE_LICENSE_KEY": "your-license-key-here"
      }
    }
  }
}

密钥为可选项。没有密钥时，可试用 10 次扫描（SAST、密钥和依赖项）。在 safeweave.dev/signup 免费注册账号，即可解锁使用 7 个扫描器进行无限次本地扫描。

套餐

套餐	价格	扫描运行位置	扫描器
无密钥	免费	本地，10 次扫描试用	3 个（SAST、密钥、依赖项）
免费账号	免费	本地	7 个（除 DAST 外的全部扫描器）
Cloud	$29/mo	本地 + 托管	全部 8 个，另含 PR 检查、网站扫描和 AI 构建器规则
Cloud Plus	$59/mo	本地 + 托管	Cloud 的全部功能，另含团队成员

详情请参阅 safeweave.dev/pricing。

替代方案：Docker

如果你更喜欢通过 Docker 运行：

git clone https://github.com/nickfluxk/safeweave.git
cd safeweave
cp .env.example .env   # Edit with your license key and SCAN_DIR
docker compose up

扫描器二进制文件的工作方式

SafeWeave 会在首次使用时自动下载并管理所需的扫描器二进制文件。

工具	版本	用途
gitleaks	8.21.2	检测密钥和凭据
trivy	0.58.0	扫描容器漏洞和 IaC 配置错误
opengrep	1.16.3	SAST 分析（兼容 Semgrep，独立二进制文件）

• 二进制文件按以下顺序查找：系统 PATH → ~/.safeweave/bin/ 缓存 → 自动下载
• 如果你已通过 Homebrew/apt 安装 gitleaks 或 trivy，则会使用这些版本（绝不会被替换）
• 对于 SAST，优先使用系统中的 semgrep；如果未找到，则会下载 opengrep（兼容 Semgrep 的独立分支）——无需 Python
• 下载会在启动时于后台进行，服务会立即就绪
• 版本已固定，并会随每次 SafeWeave 发布而更新
• 如果下载失败（例如没有网络），则会正常跳过该扫描器

支持的平台： macOS（arm64、x64）、Linux（arm64、x64）、Windows（x64）

缓存位置：

~/.safeweave/
  bin/       # Downloaded binaries
  meta/      # Version metadata (JSON)

要强制重新下载：rm -rf ~/.safeweave/bin ~/.safeweave/meta

包含内容

扫描器	检测内容	套餐
SAST	SQL 注入、XSS、SSRF、路径遍历、不安全的加密	免费
Secrets	源代码中的 API 密钥、令牌、密码和私钥	免费
Dependencies	npm、pip、Go 和 Cargo 包中的已知 CVE	免费
IaC	Terraform、Dockerfile 和 Kubernetes 配置错误	免费账号
Container	容器镜像中的漏洞	免费账号
License	GPL、AGPL 和其他有风险的依赖项许可证	免费账号
Posture	缺失的身份验证、速率限制、CORS 和安全标头	免费账号
DAST	正在运行的应用中的运行时 API 安全问题	Cloud

MCP 集成

适用于任何兼容 MCP 的编辑器——Cursor、Claude Code、VS Code、Windsurf 等。

完成配置后（参见上方的快速开始），向你的 AI 提问：

• "扫描此项目中的安全漏洞"
• "检查我的依赖项是否存在 CVE"
• "扫描硬编码的密钥"
• "运行 IaC 错误配置扫描"

如果通过 Docker 运行，请改用 SSE 传输：

{
  "mcpServers": {
    "safeweave": {
      "url": "http://localhost:9000/sse"
    }
  }
}

HTTP API

健康检查

curl http://localhost:9000/api/health

运行扫描

curl -X POST http://localhost:9000/api/scan \
  -H 'Content-Type: application/json' \
  -d '{"directory": "/path/to/project"}'

扫描指定的扫描器

curl -X POST http://localhost:9000/api/scan \
  -H 'Content-Type: application/json' \
  -d '{"directory": "/path/to/project", "scanners": ["sast", "secrets"]}'

合规配置文件

内置配置文件：standard、hardened、owasp、soc2、pci-dss、hipaa

通过 MCP set_profile 工具设置，或在项目中创建自定义的 .safeweave/profile.yaml。

配置

环境变量

变量	必需	描述
SAFEWEAVE_LICENSE_KEY	否	你从 safeweave.dev 获取的许可证密钥。没有许可证密钥时，可试用 10 次扫描
SCAN_DIR	仅限 Docker	要挂载以进行扫描的主机目录
SAFEWEAVE_LICENSE_URL	否	许可证服务器 URL（默认值为 https://license.safeweave.dev）

Claude Code 技能：推送前自动扫描

SafeWeave 包含一项 Claude Code 技能，可在每次执行 git commit、git push 或创建 PR 前自动扫描你的代码。

安装技能

将技能复制到 Claude Code 技能目录：

mkdir -p ~/.claude/skills/secure-before-push
curl -sL https://raw.githubusercontent.com/nickfluxk/safeweave/main/skills/secure-before-push/SKILL.md \
  -o ~/.claude/skills/secure-before-push/SKILL.md

或克隆并复制：

git clone https://github.com/nickfluxk/safeweave.git /tmp/safeweave
cp -r /tmp/safeweave/skills/secure-before-push ~/.claude/skills/

安装后会发生什么

安装后，每当你说“提交”“推送”“发布”或“创建 PR”时，Claude Code 都会自动运行 SafeWeave 扫描：

严重性	操作	是否阻止推送？
严重 / 高	立即修复并重新扫描	是
中	发出警告并请求确认	由用户决定
低 / 信息	无需操作	否

先决条件

必须配置 SafeWeave MCP 服务。运行 npx safeweave-mcp 即可自动完成设置。

验证

启动新的 Claude Code 会话，并要求它提交代码。你应该会看到 SafeWeave 在 Git 操作前运行扫描。

许可证

MIT。参见 LICENSE。