Was macht sast-skills?
Durchsuchen Sie Codebasen mit LLM-Agent-Fähigkeiten nach Sicherheitslücken und verwandeln Sie Claude Code, Cursor und andere Assistenten in SAST-Scanner.
Übersicht
Dieses Skill-Paket verwandelt Ihre LLM-basierten Codierungsassistenten in leistungsstarke SAST-Scanner (Static Application Security Testing) – direkt in Ihrer IDE oder über die Befehlszeile. Anstatt sich auf externe Sicherheitstools zu verlassen, nutzt es das kontextuelle Verständnis des Assistenten, um Code auf Schwachstellen zu analysieren.
Warum dieses Skill verwenden?
- Proaktive Sicherheit: Finden Sie Sicherheitsprobleme, bevor sie in die Produktion gelangen.
- Entwicklerfreundlich: Funktioniert innerhalb Ihrer vorhandenen Arbeitsabläufe (Claude Code, Cursor, etc.).
- Kontextbewusst: Der Agent versteht die Logik der gesamten Codebasis und nicht nur isolierte Dateien.
- Anpassbar: Leicht erweiterbar mit neuen Regelsätzen für verschiedene Schwachstellentypen.
Unterstützte Plattformen
- Claude Code (Anthropic)
- Cursor (Anysphere)
- Andere LLM-basierte Codierungsassistenten, die benutzerdefinierte Skills/Anweisungen unterstützen.
Verwendung
- Installieren Sie das Skill: Befolgen Sie die für Ihren Assistenten spezifischen Anweisungen, um dieses Skill zu aktivieren.
- Scannen Sie Ihre Codebasis: Verwenden Sie einen Befehl wie
sast scanoderscan for security issues(abhängig vom Assistenten). - Überprüfen Sie die Ergebnisse: Der Agent gibt einen detaillierten Bericht mit Problembeschreibungen, Standorten und empfohlenen Korrekturen aus.
Regelsätze
Das Skill enthält vordefinierte Regelsätze für:
- SQL/NoSQL-Injection
- Cross-Site Scripting (XSS)
- Unsichere Datei-Uploads
- Hartcodierte Geheimnisse und API-Schlüssel
- Unsichere Deserialisierung
- Fehlerhafte Authentifizierung und Zugriffskontrolle
Konfiguration
Sie können die Verhaltensweise des Skills anpassen, indem Sie Umgebungsvariablen setzen oder eine Konfigurationsdatei (sast.config.json) in Ihrem Projekt-Stammverzeichnis ablegen:
{
"rules": ["all"],
"severity": ["high", "medium"],
"output": "sast-report.md"
}
Integration in CI/CD
Sie können dieses Skill in Ihre CI/CD-Pipeline integrieren, um automatisch bei jedem Commit oder Pull Request zu scannen.
Lizenz
Dieses Projekt ist unter der MIT-Lizenz lizenziert.
Mitwirken
Beiträge sind willkommen! Bitte öffnen Sie Issues oder Pull Requests, um neue Regelsätze hinzuzufügen oder bestehende zu verbessern.