【免费下载链接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.项目地址https://gitcode.com/gh_mirrors/sa/sast-skills点击查看免费下载sast-skills 是一组能让 LLM 编程助手变身 SAST 扫描器的 agent skills用于自动查找 Web/移动应用代码中的漏洞。它最核心的设计是在漏洞检测阶段为 13 项检测任务各启动一个 Subagent 并行执行让大型代码库的扫描速度成倍提升。本文带你拆解这套多 Subagent 编排架构。三阶段工作流总览从侦察到报告整个评估流程由入口编排文件 sast-files/AGENTS.mdClaude Code 使用 sast-files/CLAUDE.md自动驱动分三步进行阶段执行方式输出文件① 代码库分析单线程主会话内运行sast/architecture.md② 漏洞检测13 个 Subagent 并行sast/*-results.md③ 报告生成单个 Subagent 汇总sast/final-report.md整套架构的精髓在于基于文件的编排每个阶段的输入输出都是 Markdown 文件主 Agent 只需检查文件是否存在就能决定执行还是跳过某个步骤。第一步为什么代码库分析必须单线程sast-files/AGENTS.md 中有一条关键说明Run the sast-analysis skill directly (this one stays in-session since later steps depend on reading its output).sast-analysisskill 负责摸清技术栈、架构、入口点、数据流和信任边界产出sast/architecture.md。由于后续所有检测任务都要读取这份地图它被特意保留在主会话中执行并强制等待其完成——这是整个并行流程的前置依赖。第二步核心13个Subagent如何并行协作sast-files/AGENTS.md 中的指令非常直接每项检查启动一个 Subagent全部并行运行每个 Subagent 负责一个专属任务。所有 Subagent 共享同一套指令模板只需替换 skill 名称和文件路径先读取sast/architecture.md获取上下文然后运行指定的 SAST skill将发现写入对应的结果文件完成后清理该 skill 的中间侦察文件。每个 Subagent 内部再执行两阶段检测先用侦察recon阶段发现候选代码段再在验证阶段确认漏洞是否真实可利用最后把带证据链和修复建议的发现写入结果文件。13项检测任务与结果文件对照Skill检测目标结果文件sast-sqliSQL 注入sast/sqli-results.mdsast-xss跨站脚本XSSsast/xss-results.mdsast-rce远程代码执行sast/rce-results.mdsast-ssrf服务端请求伪造sast/ssrf-results.mdsast-idor不安全直接对象引用sast/idor-results.mdsast-xxeXML 外部实体注入sast/xxe-results.mdsast-ssti服务端模板注入sast/ssti-results.mdsast-jwtJWT 不安全实现sast/jwt-results.mdsast-missingauth缺失认证/越权sast/missingauth-results.mdsast-pathtraversal路径穿越sast/pathtraversal-results.mdsast-fileupload不安全文件上传sast/fileupload-results.mdsast-businesslogic业务逻辑缺陷sast/businesslogic-results.mdsast-graphqlGraphQL 注入sast/graphql-results.md 小提示如果使用 Claude Codesast-files/CLAUDE.md 还会额外并行运行sast-hardcodedsecrets硬编码密钥检测共计 14 项。幂等重跑文件已存在就跳过并行编排中最实用的一处设计是基于输出文件的跳过机制。sast-files/AGENTS.md 为每项任务列出了跳过条件例如Skip SQLi ifsast/sqli-results.mdalready exists.这意味着修复完部分漏洞后重新运行扫描只会有尚未完成的任务被补充执行不会重复劳动。同时每个 Subagent 完成后会清理自己的中间文件如sast/sqli-recon.md、sast/rce-batch-*.md等保持sast/目录整洁。第三步单个Subagent汇总最终报告所有并行 Subagent 结束后编排流程会再启动单个 Subagent读取全部sast/*-results.md与sast/architecture.md运行sast-reportskill生成按严重程度和机密性影响排序的 sast/final-report.md附带完整修复指导和动态测试步骤。快速上手步骤1️⃣ 将你的项目复制到sast-files/目录cp -r /path/to/your/project sast-files/2️⃣ 用 AI 编程助手推荐 Claude Code Opus 模型也支持 Codex、Opencode、Cursor 等以sast-files为工作区打开项目3️⃣ 直接输入 Run vulnerability scan 或 Find vulnerabilities in this codebase编排文件会自动接管整个流程⚠️ 注意如果你的项目自带CLAUDE.md或AGENTS.md运行前需先移除否则会与 sast-files/ 提供的编排文件冲突。产出物一览运行结束后项目根目录会生成sast/文件夹文件说明sast/architecture.md技术栈、架构、入口点、数据流sast/*-results.md各漏洞类别的发现含利用证明与修复建议sast/final-report.md按严重程度排序的汇总报告总结sast-skills 的多 Subagent 编排架构可以归纳为三点前置分析单线程保证上下文完整、检测阶段 13 路并行提速、基于 Markdown 文件实现解耦与幂等重跑。无需安装任何第三方工具把这套 skills 放进你的 AI 编程助手就拥有一个可重复运行的 SAST 扫描器。更多说明可参考 README.md。赞分享【免费下载链接】sast-skillsCollection of agent skills to find vulnerabilities inside your web/mobile apps.项目地址https://gitcode.com/gh_mirrors/sa/sast-skills点击查看免费下载相关推荐Spacedrive 并行任务执行设计从 JobContext 接入 TaskDispatcher 的多线程任务派发架构Spacedrive 并行任务执行设计从 JobContext 接入 TaskDispatcher 的多线程任务派发架构 本文基于 .tasks/core/J桌面应用移动开发后端存储数据同步vibe-tools并发执行如何同时运行多个AI任务vibe tools并发执行如何同时运行多个AI任务 想要让AI团队工作效率翻倍vibe tools的并发执行功能正是你需要的解决方案 这款强大的工具AI Agent开发工具MCP 服务浏览器控制GSD-2 并行 Milestone 编排多 Worktree 隔离并行执行的架构与实战指南GSD 2 并行 Milestone 编排多 Worktree 隔离并行执行的架构与实战指南 导读 GSD 2gsd 2是一个以 meta prompti人工智能AI Agent代码智能体Agent 编排CLIAI 应用创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考