关于 security-scan
security-scan 面向多语言项目执行安全扫描，覆盖 JavaScript/TypeScript、PHP、Python、Swift/iOS、Go 和 Rust。它按项目标记选择 OWASP 模式并生成报告，随后将修复建议交给 sniper Agent，但不自行修改代码。
主要功能
- 01根据项目标记识别语言
- 02使用 OWASP 模式扫描漏洞
- 03按 OWASP 类别整理发现
- 04生成结构化扫描报告
- 05按文件和行号委派修复
适用场景
- 01扫描代码库中的常见漏洞
- 02检查 GraphQL 端点的安全模式
- 03生成按 OWASP 分类的安全报告
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-scan确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/graphql-security.mdowasp-top10.mdscan-patterns-extra.mdscan-patterns.mdreferences/templates/scan-report.md详细介绍
此技能会对 JavaScript/TypeScript、PHP、Python、Swift/iOS、Go 和 Rust 执行完整的安全扫描：根据项目标记检测语言，加载匹配的模式集，运行 harness 的自动扫描器（将 OWASP 模式移植到 `@fusengine/harness`），将发现的问题映射到 OWASP Top 10 类别，并生成结构化报告。
模式类别包括 XSS、SQL 注入、命令注入、不安全的代码执行（eval/exec）、SSRF、弱加密、硬编码密钥、不安全反序列化以及路径遍历/LFI/RFI；如果存在 GraphQL 端点，还会检查 GraphQL 专属模式（内省、深度/复杂度限制、批处理、授权）。
扫描完成后，会将修复任务交给 sniper Agent，并提供文件:行号、漏洞和修复方案——它不会自行应用修复。
安全扫描技能
概述
在所有支持的语言中协调完整的安全扫描工作流。
支持的语言
| 语言 | 标记文件 | 模式数量 |
|---|---|---|
| JavaScript/TypeScript | package.json | 25+ |
| PHP | composer.json | 20+ |
| Python | requirements.txt, pyproject.toml | 18+ |
| Swift/iOS | Package.swift, *.xcodeproj | 15+ |
| Go | go.mod | 12+ |
| Rust | Cargo.toml | 10+ |
工作流
- 检测 根据项目标记识别语言
- 加载
references/scan-patterns.md中的模式 - 运行
bun ${CLAUDE_PLUGIN_ROOT}/../node_modules/@fusengine/harness/dist/cli/bin.mjs scan <dir>执行自动扫描（将 OWASP 模式移植到 harness） - 映射 通过
references/owasp-top10.md将发现的问题映射到 OWASP 类别 - 生成 使用
references/templates/scan-report.md生成报告
模式类别
- XSS（跨站脚本）
- SQL 注入
- 命令注入
- 代码执行（eval、exec）
- SSRF（服务端请求伪造）
- 弱加密
- 硬编码密钥
- 不安全反序列化
- 路径遍历 / LFI / RFI
集成
扫描完成后，将修复任务交给 sniper：
Agent(subagent_type="fuse-ai-pilot:sniper", prompt="Security fixes: [FILE:LINE] [VULN] [FIX]")
参考资料
- OWASP Top 10 映射
- 按语言分类的扫描模式
- 报告模板
- GraphQL 安全模式 — 当目标公开 GraphQL 端点时加载（内省、深度/复杂度限制、批处理、授权检查）。
- 扫描模式 - Python、Swift/iOS、Go、Rust — 扫描 Python、Swift/iOS、Go 或 Rust 源代码时加载（
scan-patterns.md中未涵盖的模式）。
评论
支持 Markdown