用 Claude Code 做安全审查：从一个 diff 到整个仓库

安全审查：Claude Code 能做什么

• 在合并前检查每个改动有没有注入、缺失的授权、数据泄露和写在代码里的密钥。
• 定时扫描整个仓库，报告发现时附上证据，而不是只丢出一条警告。
• 把确认的发现变成补丁或 issue，最严重的先处理。
• 修复后再检查一遍，确认漏洞已经堵上。

安全审查：Claude Code 的相关功能

安全审查：怎么设置 Claude Code

1. 连接工具

   只要会话有 origin remote，/security-review 就能用。要做完整扫描，从官方 marketplace 安装 Claude Security 插件；它需要 Python 3.9 或更高版本，以及付费套餐或 API 访问权限。

   # 在 Claude Code 会话里：安装扫描器
   /plugin install claude-security@claude-plugins-official
   
   # 合并前以 high 强度扫描你的分支
   /claude-security scan my branch at high

2. 把规则写进 CLAUDE.md

   Claude Code 在每次会话开始时都会读取 CLAUDE.md，claude -p 运行也一样。把这项工作的规则写在这里；规则很长的话，放进 .claude/skills/ 下的一个 skill。见 CLAUDE.md 指南。

   ## 安全审查规则
   - 审查每个涉及 auth/、billing/ 或 SQL 的 pull request。
     查找注入、缺失的授权检查、写在代码里的密钥，
     以及返回给错误用户的数据。
   - 每个发现都标上 Critical、High、Medium 或 Low，
     附上文件、行号和可能的利用方式。
   - 绝不对生产环境或任何不属于我们的东西运行漏洞利用。
     读代码，在本地测试。
   - 修复一律开 pull request；绝不直接推送到 main。

3. 不打开交互界面运行

   claude -p 运行一个任务后就退出，所以 cron、CI 或别的工具都能启动它。用 --allowedTools 或 --permission-mode 决定它不经询问可以做什么；--output-format json 会连同花费一起返回结果。

   # 从 CI 或 cron 对分支做一次安全检查
   claude -p "对这个分支运行 /security-review，按严重程度列出发现" \
     --output-format json > security-review.json

4. 设成定时运行

   用 /schedule 做成云端定时任务（Pro、Max、Ultra、Team 和 Enterprise 可用），或者用桌面定时任务，会话开着时也可以用 /loop。见如何让 Claude Code 主动工作。

来源：Claude Code 文档

局限与安全

• 它读的是你本地仓库里的代码，而不是正在运行的网站，所以发现不了配置错误的服务器。
• 扫描结果不确定：两次运行可能发现不同的问题。要定期跑，而不是跑一次就完。
• 它是对扫描器和依赖告警的补充，不能取代它们，也不能取代渗透测试。
• 从 Claude Code v2.1.302 起，claude -p 以 Manual 模式启动：需要批准的操作，除非有规则允许，否则一律拒绝。只放行这项工作需要的工具。

安全审查，用 Claude Code 还是 Codex？

规则可以通用。只在 AGENTS.md 里写一次，再在 CLAUDE.md 里放一行 @AGENTS.md，两个 agent 读的就是同一个文件。

另一个 agent 的分步做法：Codex 安全审查。

安全审查，交给专人负责

命令只在有人记得时才会运行。Crewmark 把你自己的 Claude Code 变成一个 AI 员工，有岗位、量化目标、工作时间和心跳，工作就会按时完成，并出现在看板上。

1. 从岗位开始

   AI 软件工程师，岗位说明里写上这些规则。

2. 把工作放到它的看板上

   把这项工作加成周期 issue。员工按心跳醒来，做完后在评论里汇报。

3. 相关内容

   不属于安全问题的 bug，见代码审查。

常见问题