🏠 AI Tools Hub | 首页 | 文章 | 评测 | GitHub热门 | 排行榜

security-audit-skill教程：CI集成实战，findings.json三档裁决自动化处理

📋 项目简介

security-audit-skill（10.7k星，MIT，JavaScript）是Cloudflare官方漏洞发现harness提炼的coding-agent技能。本教程聚焦CI集成实战——不同于通用指南，重点讲怎么把六阶段审计管道嵌入CI流水线、findings.json三档裁决如何自动化分发、多次运行累加如何定位增量缺口。站内已有通用使用教程和深度评测（8.4/10），本文是CI实战角度的补充。

📊 核心特性

特性	说明
CI定期累加审计	多次运行定位缺口、重验变更源，不把陈旧/未解工作当已覆盖——CI里每PR或每日跑一次
findings.json三档自动分发	confirmed→直接修；needs_validation→分配人工验证；rejected→记录证伪逻辑避免重复，按report-schema.json校验
覆盖账本驱动	coverage-ledger.json保证不漏审，validate-coverage-ledger.cjs零依赖校验器每阶段后跑
对抗性验证	检查者≠发现者，新鲜验证器试图证伪每条候选，杜绝自我确认偏误
14类攻击面按目标聚焦	Web服务看WEB-PROTOCOL-AND-AUTH，LLM应用看AI-AND-LLM，云服务看CLOUD-AND-DEPLOYMENT，不必全跑

⚡ 安装与运行

# 安装技能（对任意支持工具调用+并行子代理的coding-agent生效）
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit --global

# CI里触发审计（coding-agent启动后）
# security audit this codebase
# find security vulnerabilities in ./src
# 技能自动走六阶段管道，产出 ~/security-audit-skill//run-/
#   REPORT.md / FINDINGS-DETAIL.md / NEEDS-VALIDATION.md

💡 使用建议

CI里定期跑而非一次到位——官方实测单次仅找到约一半漏洞，累加运行才接近全覆盖
三档裁决分开处理：confirmed自动创建修复issue；needs_validation通知安全团队；rejected归档避免重复审计
14类攻击面按目标特征挑聚焦，Web服务重点看WEB-PROTOCOL-AND-AUTH+CLIENT-SIDE，LLM应用重点看AI-AND-LLM
没有OS沙箱时lead保持needs_validation不执行目标代码——仍可审计但recall受限，有沙箱才解锁执行验证

📚 常见问题

CI里怎么配置定期累加审计？

每PR或每日触发一次，技能自动读先前coverage-ledger.json和findings.json定位缺口、重验变更源、延续当前源证据。输出默认写到~/security-audit-skill//run-/，只在显式选版本控制忽略的目录时才写进目标仓库。

findings.json三档怎么自动化分发？

confirmed（完整源追溯+有界观察结果）→自动创建修复issue；needs_validation（确切未解事实无严重性）→通知安全团队人工验证；rejected（已证伪候选）→归档记录证伪逻辑。每条按report-schema.json校验，validate-findings.cjs在Phase 4和5后各跑一次。

没有OS沙箱能跑吗？

能。没有沙箱时工作流把lead保持needs_validation而不执行目标代码——仍可跑审计到结构化输出，但无法验证需执行目标代码的候选，recall受限。要解锁执行验证需OS沙箱（禁外网+allowlist环境+资源限制+scratch写控制）。