安全扫描Skill：把安全检查变成开发日常的“例行体检”
- 一句话定位：这是一个轻量级、可高频运行的安全扫描技能，聚焦秘密泄露、依赖漏洞、容器镜像、静态代码与配置错误配置五大类常见问题，目标是在开发早期就拦住“低级但致命”的安全隐患。
- 核心能力：内置工具选择矩阵，按扫描类型和语言生态自动匹配 TruffleHog、Gitleaks、npm audit、pip-audit、govulncheck、cargo audit、Trivy、Semgrep、Bandit、gosec、hadolint、tfsec、kubesec 等主流工具。
- 使用门槛低：不需要记住一堆命令，用自然语言说出“帮我做一次快速安全扫描”即可触发，技能会按优先级给出检查顺序与可执行命令。
- 可落地：内置预提交钩子（pre-commit）与 GitHub Actions、GitLab CI、CircleCI 配置模板，能把一次性扫描固化成团队门禁。
- 有边界感：它是“例行快速扫描”，不是全面审计；遇到关键发现、复杂漏洞或合规问题，会建议升级到
security-audit技能或更高级的工程代理。
一、该技能叫什么？如何下载安装 AI 技能提升开发效率？
技能中文名：安全扫描Skill 技能英文名：security-scan 技能ID：13481
它解决什么问题
在真实开发节奏里，安全问题往往不是“没人懂”，而是“没人天天查”。开发者容易在提交前把 API Key 写进配置文件、在升级依赖时无意引入带 CVE 的版本、在 Dockerfile 里用上过期的基础镜像。这些问题单靠人工记忆很难覆盖，而完整的安全审计又太重、太慢、跑不动每天几十次的提交。
security-scan 的定位就是“快”——它提供一套轻量、可频繁运行的例行检查流程，把安全从“季度审计”变成“日常体检”。技能详情中明确写着：这些是轻量级扫描，旨在早期捕捉常见问题，而非全面审计。
安装前提
从技能定义可以看到，该技能允许使用的工具是 Read, Grep, Glob, Bash 四类。这意味着：
- 你的 AI 编码环境需要支持技能（Skill）机制，并能授予读取文件、全文检索、路径匹配与执行命令行这四类权限；
- 本地需要具备基础命令行环境（macOS、Linux 或类 Unix 环境更顺畅）；
- 若要跑完整检查，需要按需预装对应的扫描工具（如 TruffleHog、Trivy、Semgrep 等）。
安装步骤（通用思路）
- 找到技能入口：在所用 AI 编码工具/平台的“技能市场”或“技能管理”页面，搜索技能英文名
security-scan或技能ID13481。具体的商店地址与入口位置以官方说明为准。 - 执行安装：点击安装/添加，确认授予
Read / Grep / Glob / Bash权限。权限弹窗的文案与交互以官方说明为准。 - 准备扫描工具：技能本身是“调度层”，真正的扫描靠外部工具完成。技能详情中给出了工具安装快速参考，例如：
# 秘密扫描
brew install trufflesecurity/trufflehog/trufflehog
brew install gitleaks
# 依赖项扫描
pip install pip-audit safety
go install golang.org/x/vuln/cmd/govulncheck@latest
cargo install cargo-audit
# 容器扫描
brew install trivy
brew install anchore/grype/grype
# SAST
brew install semgrep
pip install bandit
# 基础设施扫描
brew install hadolint tfsec
- 验证是否生效：在对话中直接输入触发词，例如“帮我做一次快速安全检查，先查硬编码密钥”。若技能被正确加载，回复会体现按优先级排列的扫描清单（秘密 → 依赖 → 容器 → SAST → 配置），并给出具体可执行的命令，而非泛泛而谈的建议。
提示：并非所有工具都必须装齐。技能的工具选择矩阵为每类扫描都提供了“最佳工具 + 替代工具”，例如秘密扫描可用 TruffleHog 或 Gitleaks，依赖扫描可用 npm audit 或 Snyk，容器扫描可用 Trivy 或 Grype。手头有什么就先跑什么。
二、该技能的主要功能和特点
- 五大类扫描全覆盖：秘密检测、依赖项漏洞、容器镜像扫描、快速静态分析（SAST）、配置与 IaC 检查，形成一个从代码到镜像到基础设施的检查闭环。
- 工具选择矩阵：这是该技能最实用的部分。针对每种扫描类型，给出“最佳工具 + 替代工具 + 用途”三列说明，避免在工具选型上反复纠结。例如依赖扫描中，JS 用 npm audit、Python 用 pip-audit、Go 用 govulncheck、Rust 用 cargo audit、Ruby 用 bundle audit、.NET 用 dotnet list package。
- 按优先级排序的检查清单：明确“先查秘密（关键）→ 再查依赖（高）→ 容器（高）→ SAST（中）→ 配置（中）”，保证时间有限时先解决最致命的问题。
- 自然语言触发词丰富：安全扫描、SAST、DAST、漏洞扫描、依赖扫描、容器扫描、秘密扫描、凭证扫描、快速扫描、预提交安全、例行安全等均可触发；同时兼容 Snyk、Trivy、Semgrep、CodeQL、Bandit、safety、npm audit、cargo audit、gitleaks、trufflehog、govulncheck、pip-audit 等工具名。
- 结果解释体系：给出“关键/高/中/低”四级严重性对应的行动与时间线——关键要在数小时内修复并阻止合并，高应在合并前修复，中按冲刺计划修复，低进入积压跟踪。
- 误报识别指引：专门列出秘密检测与依赖扫描的常见误报来源，如测试夹具中的假密钥、文档示例、Base64 编码的非秘密内容、仅开发依赖项、未使用代码路径等，避免团队被噪音淹没。
- 结果分类模板：提供“确认问题 / 误报 / 接受风险”三张表格模板，让扫描输出可以直接贴进 PR 或工单。
- 预提交钩子与 CI 模板：直接给出
.pre-commit-config.yaml配置片段，以及 GitHub Actions、GitLab CI、CircleCI 的可复制配置。 - 一键式组合命令：提供按语言/场景打包的“一行命令”，例如 Python 项目用
pip-audit && bandit -r src/ -ll，Go 项目用govulncheck ./... && gosec -severity high ./...。 - 清晰的升级路径：遇到关键发现、不寻常或复杂漏洞、架构级安全担忧、合规问题或需要事件响应时，建议升级到完整的
security-audit技能。
和普通工具比强在哪：单个工具只回答“这一种问题”，而这个技能回答的是“我该按什么顺序、用什么工具、怎么判断结果、怎么固化到流程里”。它更像一位帮你编排工具链的安全搭档，而不是又一个命令行程序。
三、如何使用该技能？
步骤 1：明确扫描目标，用自然语言下指令
直接描述你想扫什么、扫到什么程度。示例输入：
“对当前仓库做一次快速安全扫描，重点看有没有硬编码的 API Key，然后检查 npm 依赖里的高危 CVE，最后用 Semgrep 跑一遍安全规则。”
如果只想聚焦某一项，也可以说：
“只扫 src/ 目录下的 Python 代码，用 Bandit 只报高严重性问题。”
步骤 2：按优先级执行秘密扫描
技能会优先给出秘密检测方案。轻量场景可直接用 grep 模式快速过一遍：
# AWS 凭证特征
grep -rn --include="*.{js,ts,py,go,java,rb,php,env,yaml,yml,json}" \
-E "(AKIA|ABIA|ACCA|ASIA)[A-Z0-9]{16}" .
# 私钥文件
grep -rn --include="*.{pem,key,env}" \
-E "-----BEGIN (RSA |EC |DSA |OPENSSH )?PRIVATE KEY-----" .
更推荐使用专用工具，误报更低：
trufflehog filesystem --directory=. --only-verified --no-update
gitleaks detect --source=. --no-git
步骤 3：执行依赖项扫描
按项目生态选择命令：
npm audit --audit-level=high # Node.js
pip-audit # Python
govulncheck ./... # Go
cargo audit # Rust
步骤 4：执行容器与配置扫描（如适用）
trivy image --scanners vuln,secret,config myimage:latest
hadolint Dockerfile
tfsec . --minimum-severity HIGH
kubesec scan deployment.yaml
步骤 5：执行快速 SAST
semgrep --config=p/security-audit --config=p/secrets .
bandit -r . -ll # Python，仅高严重性
gosec -severity high ./...
步骤 6：解读结果并分级处置
技能的典型输出是结构化分类，而不是一堆原始告警。预期形态如下：
确认问题
| 发现 | 严重性 | 文件 | 行动 |
|---|---|---|---|
| 硬编码 API 密钥 | 关键 | config.js:42 | 移除并轮换密钥 |
| lodash CVE | 高 | package.json | 更新到安全版本 |
误报
| 发现 | 原因 | 行动 |
|---|---|---|
| test_api_key | 测试夹具 | 加入 .gitleaksignore |
接受风险
| 发现 | 理由 | 审核者 |
|---|---|---|
| CLI 工具中的低危 CVE | 仅内部使用 | 安全负责人 |
步骤 7：固化到日常流程
把扫描写进 .pre-commit-config.yaml，让问题在提交前就被拦下：
repos:
- repo: https://github.com/trufflesecurity/trufflehog
rev: v3.63.0
hooks:
- id: trufflehog
entry: trufflehog filesystem --no-update --fail --only-verified
args: ["--directory=."]
- repo: https://github.com/zricethezav/gitleaks
rev: v8.18.0
hooks:
- id: gitleaks
再在 CI 中加入 PR 门禁，技能详情提供了 GitHub Actions、GitLab CI、CircleCI 三套模板，可直接复制改造。
四、同类型竞品对比分析
| 方案名称 | 定位 | 核心功能 | 安装/使用门槛 | 适用场景 | 优势与不足 |
|---|---|---|---|---|---|
| security-scan（本技能） | 开发期高频例行体检 | 秘密、依赖、容器、SAST、配置五类扫描的编排与结果解释 | 需安装技能并授予 Read/Grep/Glob/Bash；扫描工具按需预装 | 提交前检查、PR 审核、每日例行扫描、依赖更新后验证 | 优势：工具矩阵清晰、按优先级排序、输出可读可落地、含 pre-commit 与 CI 模板；不足：定位轻量，不做深入审计，依赖外部工具可用性 |
| security-audit（深度审计技能） | 全面安全审计 | 更深入的安全评估与威胁建模 | 技能详情未提供具体安装信息，以官方说明为准 | 关键发现升级、复杂漏洞、架构级安全担忧 | 优势：覆盖更全面；不足：更重、更慢，不适合每日高频运行 |
| Snyk 平台 | 商业安全 SaaS | 依赖、容器、IaC、代码扫描，含修复建议与看板 | 需注册账户与配置令牌 | 团队级持续安全治理 | 优势：体验统一、修复建议强；不足：商业授权成本，需联网与账户体系 |
| Trivy 单工具 | 开源扫描器 | 镜像、文件系统、配置、秘密扫描 | 单条安装命令即可 | 容器与制品为主的扫描 | 优势：快、单二进制、易集成；不足：缺少跨工具编排与结果分类方法论 |
| CodeQL / SonarQube | 重型代码分析平台 | 深度静态分析、数据流追踪、质量门禁 | 需数据库构建或服务端部署 | 中大型团队长期代码治理 | 优势：分析深度高；不足：配置复杂、首次分析耗时长，不适合“随手快扫” |
选择建议：日常高频、追求快和轻，选 security-scan；发现关键问题需要深挖，升级到 security-audit；需要团队级统一看板与商业支持，考虑 Snyk 类平台；已有成熟 CI 体系，也可只用 Trivy、Semgrep 单点工具，但要自己补齐编排与解读环节。
五、该技能的典型应用场景与实际体验情况
场景一：前端工程师提交前的“最后一分钟自救”
角色与痛点：前端开发在本地调试时习惯把接口密钥写进 .env 或配置对象，匆忙提交时很容易带进仓库。
使用方式：提交前说一句“快速查一下有没有硬编码密钥”，技能会优先执行秘密扫描，给出 TruffleHog 或 Gitleaks 命令，并提示“仅验证的秘密才上报”以减少误报。
实际体验：上手几乎零成本，最耗时的是首次安装扫描工具。效果上，它把“我有没有犯低级错误”从凭记忆变成有工具兜底。注意事项是测试夹具里的假密钥会被扫出来，需要维护忽略清单，否则告警会疲劳。
场景二：后端服务依赖升级后的漏洞复核
角色与痛点：Python 后端团队升级依赖后，不确定是否引入了新的 CVE，人工翻 CVE 库不现实。
使用方式：“升级完依赖了，帮我复核一下 Python 依赖的漏洞，只报高危。”技能给出 pip-audit，并补充 bandit -r src/ -ll 做一遍 Python 侧静态检查。
实际体验：组合命令的设计很省心，一条命令就能覆盖“依赖 + 代码”两层。注意点是开发依赖的告警较多，需要按技能给的误报指引判断是否进入“接受风险”清单。
场景三：DevOps 的容器镜像与基础设施配置检查
角色与痛点：平台工程师维护多个镜像和 Terraform、K8s 清单，配置错误（如 Dockerfile 用 root 运行、Terraform 存储桶公开）往往到上线后才暴露。
使用方式：“扫一下这个镜像和 Dockerfile，再看看 Terraform 配置有没有高危问题。”技能会调用 Trivy 的三合一扫描（漏洞、秘密、配置），再叠加 hadolint 与 tfsec。
实际体验：镜像扫描是耗时最长的一环，建议在 CI 而非本地高频跑。技能明确要求“容器扫描看 HIGH、CRITICAL 两档”，这一点很关键，能大幅压缩噪音。
场景四：团队 PR 门禁与例行巡检
角色与痛点：团队希望“不引入新漏洞”成为合并的硬性条件，但没有专门的安全工程师来搭流水线。
使用方式：直接把技能给出的 GitHub Actions 配置粘进仓库，PR 时自动跑秘密、依赖、SAST、容器四项检查，关键级别设置 exit-code: 1 阻断合并。
实际体验：模板可复制性强，改造点主要集中在镜像名与包管理器。需要注意的是 npm audit --audit-level=high || true 这类写法会把失败吞掉，团队应结合自身严格程度决定是否保留。
六、该技能能为用户带来的价值
把安全“左移”到写代码的当下。技能定义的运行时机非常务实：提交前、PR 审核期间、定期间隔、依赖更新后、开发中的快速验证。问题发现得越早，修复成本越低——密钥在提交前被拦下，只需删掉一行；泄露到公开仓库后再处理，就要走密钥轮换与事件响应。
降低工具门槛。安全工具的命名、参数、适用生态对多数开发者是黑盒。技能用一张工具选择矩阵把“什么场景用什么工具”讲清楚，再配一行命令，让不熟悉安全领域的人也能跑出有意义的结果。
减少无效告警带来的疲劳。技能不仅告诉你跑什么，还告诉你“哪些是误报”“哪些可以接受风险”“关键问题几小时内必须修”。这种分级与分类能力，往往比扫描本身更影响团队能否长期坚持。
提供可复用的流程资产。pre-commit 配置、三套 CI 模板、结果分类表格，都是可以直接落进仓库的工程资产。一次接入，长期受益。
明确的边界避免误用。技能反复强调这是“例行快速扫描，而非全面审计”，并给出升级路径。这避免了团队把轻量检查当成安全合规的全部，反而降低了系统性风险。
七、常见问题 FAQ
Q1：怎么安装？我是不是得先把所有扫描工具都装好？
不必。先在 AI 工具的技能入口搜索 security-scan 或技能ID 13481 安装并授权（具体入口以官方说明为准），然后按项目实际技术栈安装对应工具即可。Java 项目不需要装 cargo-audit，纯前端项目也不需要装 kubesec。技能的工具矩阵里每类都给了替代工具，手头有哪个就用哪个。
Q2：这个技能收费吗？ 技能详情中未包含任何价格信息，是否收费取决于你所使用的 AI 平台与技能市场的规则，以官方说明为准。技能本身调用的扫描工具中，TruffleHog、Gitleaks、npm audit、pip-audit、govulncheck、cargo audit、Trivy、Grype、Semgrep、Bandit、gosec、hadolint、tfsec、kubesec 等均为开源工具；而 Snyk、CodeQL、SonarQube 等部分能力可能需要账户或服务端支持。
Q3：它和 security-audit 有什么区别？我该用哪个？ security-scan 是“日常体检”，快、轻、适合高频；security-audit 是“全面检查”，深、全、适合阶段性或问题驱动。建议日常默认用前者，当出现关键发现、不寻常或复杂漏洞、架构级安全担忧、合规相关问题或需要事件响应时，升级到后者。
Q4：适合谁用？ 最适合三类人：一是日常写业务代码、希望提交前有安全兜底的开发者；二是负责 CI/CD 与基础设施、需要给团队搭门禁的平台或 DevOps 工程师；三是小团队中没有专职安全岗、但需要一套可执行安全流程的技术负责人。
Q5：扫描结果里一堆误报怎么办？
技能已经预置了误报处理思路：区分“确认问题 / 误报 / 接受风险”三类。测试夹具中的假密钥可加入 .gitleaksignore；仅开发依赖、未使用代码路径、已缓解的问题可归入误报或接受风险并记录理由与审核人。关键是建立忽略清单并把“关键、高”两档作为真正的行动触发线，避免被低危告警淹没。