利用 AI 深度审计本地分支代码 Bug 与安全漏洞

解决代码上线前的质量把控问题：通过一套严苛的审计工作流，引导 AI 对当前分支的 Diff 变更进行全量扫描，精准识别安全漏洞、逻辑 Bug 和代码缺陷。

为什么需要这个技能

在快速迭代中，开发者很容易在提交代码时遗漏边界条件或引入潜在的安全漏洞（如 SQL 注入、越权访问）。传统的代码评审（Code Review）依赖于评审者的经验，且容易被琐碎的格式问题分散注意力。

本技能将 AI 转化为一名专业的“安全审计员”，它不再是随意的点评，而是基于一套完整的安全检查清单（Checklist）对代码进行地毯式搜索，确保每一个变更点都经过了注入、鉴权、并发竞争等关键维度的验证。

适用场景

• 提交前自检：在发起 Pull Request 之前，让 AI 帮你在本地分支快速扫描风险。
• 专项安全审计：当你对某次重大功能变更的安全性不确定，需要进行一次深度 Review 时。
• 逻辑漏洞挖掘：寻找潜在的竞态条件（Race Condition）或业务逻辑漏洞。
• 代码质量把关：在不关注代码风格的前提下，聚焦于能导致程序崩溃或泄露的实质性问题。

核心工作流

1. 全量输入采集：通过 git diff 获取当前分支与默认分支的完整差异，确保 AI 看到的是全部变更行而非片段。
2. 攻击面映射：针对每个变更文件，识别所有的用户输入点、数据库查询、鉴权检查和外部调用。
3. 执行安全清单检查：对照 10 余项关键安全指标（如 XSS、CSRF、IDOR、信息泄露等）逐一核对，不放过任何一个文件。
4. 多维验证：对发现的疑似问题进行上下文核实，确认是否已有现有测试覆盖或在其他位置已处理。
5. 结构化报告输出：按优先级（安全漏洞 > Bug > 代码质量）输出报告，包含文件行号、严重等级、问题原因及具体修复建议。

下载和安装

下载 find-bugs 中文版 Skill ZIP

解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。

你可能还需要

暂无推荐