---
slug: "code-quality-tool-pro"
name: "code-quality-tool-pro"
version: "1.0.0"
displayName: "代码质量检查专业版"
summary: "企业级代码质量审计,支持OWASP Top 10、批量扫描、自定义规则与CI/CD集成,输出多格式报告。"
license: "Proprietary"
edition: "pro"
description: |-
  面向企业研发团队的高级代码质量审计工具,提供深度安全扫描、合规性检查、批量项目分析与CI/CD流水线集成。核心能力:
  - OWASP Top 10 安全漏洞深度扫描
  - 全项目批量代码审计
  - 自定义规则引擎与策略管理
  - 多格式报告输出(SARIF/HTML/JSON)
  - CI/CD 流水线集成
  - 多租户协同审查与问题跟踪

  适用场景:
  - 企业级代码安全审计
  - 合规性检查(等保/GDPR)
  - 大型项目批量质量扫描
  - DevSecOps 流水线集成

  差异化:
  - 专业版完全兼容免费版...
tags:
  - 开发工具
  - 代码质量
  - 安全审计
  - 企业级
  - DevSecOps
  - 代码生成
  - 编程辅助
  - audit
  - python
  - json
  - owasp
tools:
  - read
  - exec
  - write
  - glob
  - grep
homepage: ""
category: "Development"
---
代码质量检查工具专业版为企业研发团队提供深度代码审计能力。在免费版基础能力之上,专业版新增 OWASP Top 10 漏洞扫描、全项目批量分析、自定义规则引擎、多格式报告输出和 CI/CD 流水线集成,满足企业级 DevSecOps 实践需求.
专业版完全兼容免费版的配置文件和检查规则,企业用户可从免费版无缝升级,已有配置无需修改即可在专业版中使用.
## 核心能力
### 1. OWASP Top 10 深度安全扫描
覆盖 OWASP Top 10 全部安全风险类别,提供漏洞定位、风险评级和修复建议.
| OWASP 类别 | 检查内容 | 风险等级 |
|--------|----|----|
| A01 权限失效 | 越权访问、缺少访问控制 | 高危 |
| A02 加密失败 | 弱加密算法、明文传输 | 高危 |
| A03 注入攻击 | SQL注入、命令注入、XSS | 严重 |
| A04 不安全设计 | 缺少输入验证、不安全业务流 | 中危 |
| A05 配置错误 | 默认配置、调试模式开启 | 高危 |
| A06 脆弱组件 | 已知漏洞依赖、过期库 | 中危 |
| A07 认证失败 | 弱密码策略、会话管理缺陷 | 高危 |
| A08 数据完整性 | 反序列化、未验证更新 | 高危 |
| A09 日志监控 | 缺少审计日志、敏感信息记录 | 中危 |
| A10 SSRF | 服务端请求伪造风险 | 高危 |

## 输入格式
| 参数名 | 类型 | 必填 | 说明 |
|:-----|:-----|:-----|:-----|
| input | string | 是 | 代码质量检查专业版处理的输入数据或指令 |
| options | object | 否 | 附加配置选项,如模式选择、格式偏好等 |
| callback_url | string | 否 | 异步处理完成后的回调通知URL |

```bash
#!/bin/bash
echo "=== OWASP Top 10 深度扫描 ==="
# ...
echo "[A03] 注入攻击检查..."
grep -rnE "(eval|exec)\s*\(" src/ --include="*.js" --include="*.py" --include="*.php"
grep -rnE "query\s*\(\s*['\"].*\+.*['\"]" src/ --include="*.js" --include="*.py"
# ...
echo "[A02] 加密失败检查..."
grep -rnE "(md5|sha1|des|rc4)\s*\(" src/ --include="*.js" --include="*.py"
grep -rn "http://" src/ --include="*.js" | grep -v "localhost\|127.0.0.1"
# ...
echo "[A05] 配置错误检查..."
grep -rnE "(debug\s*[:=]\s*true|allow_origin\s*[:=]\s*['\"]\*['\"])" src/
# ...
echo "[A06] 脆弱组件检查..."
if [ -f "package.json" ]; then
    npm audit --json > security-audit.json 2>/dev/null
    echo "依赖漏洞报告已生成: security-audit.json"
fi
```

**输入**: 用户提供OWASP Top 10 深度安全扫描所需的指令和必要参数.
**处理**: 解析OWASP Top 10 深度安全扫描的输入参数,完成核心逻辑,返回结构化响应.
**输出**: 返回OWASP Top 10 深度安全扫描的响应数据,包含状态码、结果和日志.
### 2. 全项目批量审计
支持对大型代码库进行批量扫描,自动识别项目结构并应用对应规则.
> 详细代码示例已移至 `references/detail.md`

**输入**: 用户提供全项目批量审计所需的指令和必要参数.
**处理**: 解析全项目批量审计的输入参数,完成核心逻辑,返回结构化响应.
**输出**: 返回全项目批量审计的响应数据,包含状态码、结果和日志.
### 3. 自定义规则引擎
支持企业自定义安全规则和质量标准.
```yaml
version: "2.0"
edition: pro
# ...
custom_rules:
  - id: CUSTOM-001
    name: 禁止使用内部测试密钥
    pattern: "TEST_KEY_\\d+"
    severity: high
    message: "检测到内部测试密钥,请使用环境变量"
# ...
  - id: CUSTOM-002
    name: API 路径必须包含版本号
    pattern: "/api/(?!v\\d+/)"
    severity: medium
    message: "API 路径需包含版本号,如 /api/v1/"
# ...
  - id: CUSTOM-003
    name: 数据库连接必须使用连接池
    pattern: "createConnection\\s*\\("
    severity: medium
    message: "建议使用连接池替代单个连接"
# ...
compliance_templates:
  - name: 等保2.0三级
    rules: [owasp_top10, data_protection, access_control, audit_log]
  - name: GDPR
    rules: [data_privacy, consent_check, right_to_erasure]
  - name: PCI-DSS
    rules: [card_data_handling, encryption_required, access_audit]
# ...
ci_cd:
  fail_on: [critical, high]
  report_format: [sarif, html, json]
  output_dir: ./reports/
  upload_artifact: true
```

**输入**: 用户提供自定义规则引擎所需的指令和必要参数.
**处理**: 解析自定义规则引擎的输入参数,完成核心逻辑,返回结构化响应.
**输出**: 返回自定义规则引擎的响应数据,包含状态码、结果和日志.
- 执行此能力时使用`input_params`参数,支持创建/查询/导出操作

### 4. 多格式报告输出
支持 SARIF、HTML、JSON 等多种报告格式,可集成到主流问题跟踪系统.
```bash
echo "=== 生成审计报告 ==="
# ...
python audit.py --format json --output report.json
# ...
python audit.py --format sarif --output report.sarif
# ...
python audit.py --format html --output report.html
# ...
python audit.py --format summary
```

**输入**: 用户提供多格式报告输出所需的指令和必要参数.
**处理**: 解析多格式报告输出的输入参数,完成核心逻辑,返回结构化响应.
**输出**: 返回多格式报告输出的响应数据,包含状态码、结果和日志.
**能力覆盖范围**：本skill的核心能力覆盖以下场景关键词：企业级代码质量审、自定义规则与、输出多格式报告、面向企业研发团队、的高级代码质量审、计工具、提供深度安全扫描、合规性检查、批量项目分析与、流水线集成、核心能力、安全漏洞深度扫描、全项目批量代码审、自定义规则引擎与、策略管理、多租户协同审查与等。这些关键词对应description中声明的使用场景,均已在上述能力点中提供对应的操作支持.
- 执行此能力时使用`input_params`参数,支持创建/查询/导出操作

## 使用场景
### 场景一:企业级安全审计
对大型项目进行全面安全审计,生成合规报告.
```bash
#!/bin/bash
PROJECT_DIR="${1:-.}"
echo "=== 企业级代码安全审计 ==="
echo "项目目录: $PROJECT_DIR"
echo "扫描时间: $(date)"
echo ""
# ...
python audit.py \
    --project "$PROJECT_DIR" \
    --rules ".codequality.yml" \
    --compliance "owasp_top10,pci_dss" \
    --format sarif,html,json \
    --output ./reports/
# ...
python audit.py --summary --output executive-summary.txt
# ...
CRITICAL_COUNT=$(python audit.py --count --severity critical)
if [ "$CRITICAL_COUNT" -gt 0 ]; then
    echo "警告: 发现 $CRITICAL_COUNT 个严重问题,建议立即修复"
    exit 1
fi
# ...
echo "审计完成,报告已输出到 ./reports/ 目录"
```

### 场景二:CI/CD 流水线集成
将代码质量检查集成到持续集成流水线中.
```yaml
code_quality_scan:
  stage: test
  image: node:18
  script:
    - echo "运行代码质量扫描(专业版)"
    - python audit.py
        --project .
        --format sarif
        --output reports/audit.sarif
    - python audit.py
        --format summary
        --fail-on critical,high
  artifacts:
    reports:
      sast: reports/audit.sarif
    paths:
      - reports/
    expire_in: 30 days
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
```

### 场景三:多租户协同审查
多个团队协同进行代码审查,问题跟踪与分配.
```python
class CollaborativeReview:
    """多租户协同代码审查"""
# ...
    def __init__(self, tenant_id):
        self.tenant_id = tenant_id
        self.reviews = {}
# ...
    def assign_review(self, issue_id, reviewer, priority="normal"):
        """分配审查任务"""
        self.reviews[issue_id] = {
            "tenant": self.tenant_id,
            "reviewer": reviewer,
            "priority": priority,
            "status": "assigned",
            "assigned_at": datetime.now().isoformat()
        }
# ...
    def batch_assign(self, issues, reviewers):
        """批量分配审查任务"""
        for i, issue in enumerate(issues):
            reviewer = reviewers[i % len(reviewers)]
            self.assign_review(issue["id"], reviewer)
```

## 不适用场景

以下场景代码质量检查专业版不适合处理：

- 无明确技术栈的模糊需求
- 纯架构设计决策
- 运维部署管理

## 触发条件

需要代码生成、编程辅助、调试测试、开发部署时使用。不适用于非本工具能力范围的需求.
## 快速开始
### Step 1:配置规则
创建 `.codequality.yml` 配置文件(兼容免费版格式):

```yaml
version: "2.0"
edition: pro
rules:
  security: [owasp_top10, hardcoded_secrets, weak_crypto]
  style: [naming, formatting]
  compliance: [owasp_top10]
ci_cd:
  fail_on: [critical, high]
  report_format: [sarif, html]
```

### Step 2:运行审计
```
请对当前项目进行全面代码安全审计,生成 SARIF 和 HTML 格式报告.
```

### Step 3:查看报告
报告输出到 `./reports/` 目录,包含:
- `audit.sarif`:用于 CI/CD 集成
- `audit.html`:用于人工审阅
- `audit.json`:用于程序处理
- `summary.txt`:执行摘要

#
## 配置示例
### 企业级完整配置

## 最佳实践
1. **分层扫描**:先运行快速扫描阻断关键问题,再进行深度审计
2. **规则版本化**:将 `.codequality.yml` 纳入版本控制,确保团队规则一致
3. **增量审计**:利用 Git diff 仅扫描变更文件,提升效率
4. **报告归档**:保留历史审计报告用于合规追溯
5. **自动修复**:对低风险问题启用自动修复,减少人工干预

```bash
echo "=== 第一层:快速阻断 ==="
python audit.py --quick --fail-on critical
if [ $? -ne 0 ]; then exit 1; fi
# ...
echo "=== 第二层:深度审计 ==="
python audit.py --deep --format sarif,html --output ./reports/
# ...
echo "=== 第三层:增量检查 ==="
git diff --name-only HEAD~1 | python audit.py --incremental
```

## 常见问题
### Q1:专业版如何兼容免费版配置?
专业版完全兼容免费版的 `.codequality.yml` 配置格式。升级后无需修改任何配置,专业版会自动识别并应用免费版规则,同时启用额外的高级检查.
### Q2:如何集成到现有 CI/CD 系统?
```bash
name: Code Quality
on: [push, pull_request]
jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Code Audit
        run: python audit.py --format sarif --output report.sarif
      - uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: report.sarif
```

### Q3:扫描大型项目性能如何?
| 项目规模 | 文件数 | 扫描时间 | 内存占用 |
|---:|---:|---:|---:|
| 小型 | <500 | <30s | <100MB |
| 中型 | 500-5000 | 1-5min | 100-500MB |
| 大型 | 5000-50000 | 5-30min | 500MB-2GB |
| 超大型 | >50000 | 30min+ | 建议分布式 |

### Q4:如何管理多团队的规则差异?
使用多租户配置,每个租户可以有独立的规则集:

```yaml
multi_tenant:
  tenants:
    - id: team-frontend
      rules: [owasp_top10, xss_detection]
    - id: team-backend
      rules: [owasp_top10, sql_injection, ssrf]
    - id: team-mobile
      rules: [owasp_top10, insecure_storage]
```

## 依赖说明
### 运行环境
- **Agent 平台**:支持 SKILL.md 的任意 AI Agent(Claude Code / Cursor / Codex / Gemini CLI 等)
- **操作系统**:Windows / macOS / Linux
- **运行时**:Python 3.8+ / Node.js 18+ / Bash
- **CI/CD**:支持主流 CI/CD 平台

### 依赖详情
| 依赖项 | 类型 | 是否必需 | 获取方式 |
|:---:|:---:|:---:|:---:|
| Python 3.8+ | 运行时 | 必需 | python.org 下载 |
| grep/ripgrep | 系统工具 | 必需 | 系统自带 |
| npm audit | CLI工具 | 可选 | Node.js 自带 |
| SARIF SDK | 库 | 可选 | pip install sarif-tools |
| LLM API | API | 必需 | 由 Agent 内置 LLM 提供 |

### API Key 配置
- 本 Skill 基于 Markdown 指令,无需额外 API Key
- 如需集成外部安全扫描服务,在 `.codequality.yml` 中配置:

```yaml
external_services:
  snyk:
    api_key: "${SNYK_API_KEY}"
    enabled: false
  sonarqube:
    url: "${SONARQUBE_URL}"
    token: "${SONARQUBE_TOKEN}"
    enabled: false
```

### 可用性分类
- **分类**:MD+EXEC+PRO(专业版支持批量执行、CI/CD 集成和高级分析)
- **说明**:企业级 AI Skill,支持全项目批量扫描、多格式报告输出和流水线集成
- **适用规模**:中小型到超大型项目(文件数无上限)
- **兼容性**:完全兼容免费版配置,支持平滑升级

## 错误处理

| 错误场景 | 原因 | 处理方式 |
|:------|------:|:------|
| 配置错误 | 参数缺失或格式错误 | 检查依赖说明中的配置要求 |
| 运行时错误 | 运行环境不满足 | 确认运行环境符合依赖说明 |
| 网络错误 | 连接超时或不可达 | 执行ping命令测试网络连通性,检查防火墙和代理设置连接后执行ping命令测试网络连通性,检查防火墙和代理设置连接后重新执行命令，参考国内替代方案 |

## 已知限制
- 需LLM支持,无LLM环境不可用
- 复杂业务场景建议结合人工经验判断
- 执行效率受模型能力与网络环境影响

## 示例

### 基本用法

**输入**：用户提供操作指令和必要参数

**输出**：返回执行结果,包含操作状态和输出数据

```text
用户: 执行核心功能
Skill: 正在执行核心功能...
Skill: 执行完成,结果如下: 操作成功
```