Security Vulnerability Scanner
代码安全漏洞扫描工作流，检测 OWASP Top 10、密钥泄露、SQL 注入、XSS 和依赖漏洞，生成修复建议。
【AI技能】Security Vulnerability Scanner：功能详解与安装指南
技能简介
在软件开发中，安全漏洞是永远无法忽视的隐患。无论是刚起步的初创项目，还是企业级应用，一旦出现密钥泄露、SQL 注入或 XSS 漏洞，轻则数据泄露，重则导致系统被完全控制。传统做法依赖人工代码审查或独立的安全工具，流程繁琐且容易遗漏。现在，Security Vulnerability Scanner 将安全检测能力直接嵌入 AI 编程助手，在你编写代码的同时自动扫描潜在风险，并提供可操作的修复建议。
这是一个通用型 AI 技能，兼容 Claude Code、Cursor、GitHub Copilot 等主流 AI 编程助手。它集成了 OWASP Top 10 标准、密钥泄露检测、常见注入漏洞扫描以及依赖库漏洞检查，覆盖开发阶段最常见的风险点。更重要的是，它不只是一个“报警器”——每次检测到问题都会附上针对性的修复代码片段或思路，帮助开发者立刻消除隐患。
如果你是关注代码质量、想减少安全事故的开发者，这个技能将会大幅降低你的安全审查成本，把防御前移到编码的那一刻。
核心优势
全栈覆盖，不留盲区
同时检测 OWASP Top 10、密钥硬编码、SQL 注入、跨站脚本（XSS）、不安全的反序列化、失效的访问控制等。无需切换多个工具，一个技能搞定。即时反馈，嵌入编码流
不再需要写完代码再跑外部扫描器。在 AI 编程助手中，只要你输入/粘贴代码，扫描结果和修复建议就会实时出现，无缝融入你的开发节奏。修复建议，不止于“告警”
大多数安全工具只会告诉你“哪里有问题”，而这个技能会基于最佳实践和通用模式生成修复代码（如参数化查询、输入输出编码、密钥替换方案等），让你直接复制修改，省去翻阅文档的时间。误报控制，专注真实威胁
通过上下文感知和模式匹配策略，大幅减少误报。不会把正常的 Base64 编码当作密钥泄露，也不会对无害的字符串插值发出骚扰性告警。持续更新，跟上新威胁
规则库会随 OWASP 版本和 CVE 公告同步更新。依赖漏洞检测支持常见包管理器（npm、pip、Maven、NuGet 等），使用你不需要手动维护黑名单。
主要功能
| 功能 | 说明 |
|---|---|
| OWASP Top 10 检测 | 覆盖 2021 版 / 2017 版 Top 10 安全风险，如注入、失效身份验证、敏感数据暴露等 |
| 密钥与凭证泄露检测 | 识别硬编码的 API 密钥、密码、Token、SSH 密钥、数据库连接字符串等 |
| SQL 注入扫描 | 检测拼接 SQL 语句、未使用参数化查询、动态构建字符串等注入风险 |
| XSS 检测 | 发现 HTML/JavaScript 中未做转义处理的用户输入，包括反射型、存储型和 DOM 型 XSS |
| 依赖漏洞扫描 | 分析 package.json、requirements.txt、pom.xml 等文件，比对该依赖已知 CVE |
| 自动生成修复建议 | 对于每个漏洞，提供具体修复代码片段（如使用 prepared statement、加密存储、CSRF Token 等） |
| CI/CD 集成提示 | 当在 CI 环境运行时，输出兼容 Jenkins、GitHub Actions、GitLab CI 的报告格式 |
如何获取与安装
Security Vulnerability Scanner 是通用技能，支持多种主流 AI 编程助手。下面是两种最常用的安装方式。
方式一：通过 Claude Code 安装（推荐）
如果你使用 Claude Code（Anthropic 官方 CLI），可以直接通过插件命令安装：
# 在项目目录中执行
claude /plugin install security-vulnerability-scan
安装完成后，Claude Code 会自动加载安全扫描规则。你只需要在对话中粘贴代码或输入代码块，它就会自动检测并显示安全分析。
如果该插件尚未上线官方市场，你也可以手动加载：将技能规则文件（.plugin 格式）放到
~/.claude/plugins/目录，然后重启 Claude Code。
方式二：在 Cursor 中配置（手动）
Cursor 支持通过 .cursorrules 文件加载自定义技能规则。操作步骤如下：
- 在项目根目录创建（或编辑）
.cursorrules文件。 - 将 Security Vulnerability Scanner 的规则内容粘贴进去。规则内容可以从以下渠道获取：
- 官方仓库：
https://github.com/topics/security中查找security-vulnerability-scan相关项目（建议搜索security-vulnerability-scan-rules）。 - 快速开始：如果你已有一个包含扫描规则的资源文件，直接复制其中的
cursorrules块内容。
- 官方仓库：
- 保存文件后，重启 Cursor 或重新加载窗口，AI 助手即会应用扫描规则。
方式三：用于其他 AI 助手（Copilot、Codeium 等）
大多数自定义指令型 AI 助手都支持类似的规则文件（如 .github/copilot-instructions.md 等）。你可以将扫描规则的核心指令以 Markdown 或 YAML 格式添加到对应配置中。详细的适配指南参见技能官方文档。
从 GitHub 获取资源
技能相关的规则集和示例配置文件托管在 GitHub 安全主题下（https://github.com/topics/security）。你可以：
- 找到提供
security-vulnerability-scan规则的项目，下载.json、.yaml或.md格式的文件。 - 直接将扫描引擎（如 Semgrep 规则）导入，AI 技能会与这些引擎协同工作。
适用场景
日常编码安全检查
每次提交代码前，用 AI 助手扫描当前文件，快速发现新引入的安全隐患，避免把漏洞带到生产环境。遗留代码审计
对已有代码库（尤其是无单元测试或未经安全审查的模块）批量扫描，发现隐藏多年的密钥泄露或注入风险。Code Review 安全辅助
PR（Pull Request）审查时，让 AI 助手自动对变更代码进行安全扫描，减少人工审查的疏漏，尤其适合大型团队。CI/CD 流水线集成
将扫描规则嵌入 CI 流程（如 GitHub Actions），在构建时自动触发扫描，如果发现高危漏洞则阻断合并或发送通知。安全培训与教学
对于团队新成员或学生，可以在编写代码时实时看到安全错误，学习如何写出安全的代码，效果优于离线培训。
小贴士
- 不要完全依赖自动扫描：安全扫描能发现大部分常见漏洞，但逻辑缺陷、业务场景攻击需要人工结合上下文判断。请把技能当作辅助工具，仍需定期进行渗透测试。
- 定期更新规则库：新漏洞不断出现，请至少每月检查一次技能规则是否有更新。如果使用 GitHub 仓库，可以关注 release 或 watch notifications。
- 结合测试驱动安全：建议在提示词中加入“请同时生成安全测试用例”，让技能不仅扫描代码，还帮助你编写针对性的安全测试。
免责声明：技能效果可能因版本和配置而异，请以官方文档为准。文中涉及的安装命令和路径适用于对应工具的当前最新版本，如果未来版本有变化，请参考相应工具的官方帮助。