Claude Code 資安審查：從一份 diff 到整個儲存庫

資安審查：Claude Code 能做什麼

• 在合併前檢查每次變更有沒有注入、缺少授權、資料外洩，以及寫在程式碼裡的機密。
• 依排程掃描整個儲存庫，回報附證據的發現，而不是空泛的警告。
• 把確認的發現變成修補或 issue，從最嚴重的開始。
• 修正後再檢查一次，確認漏洞已經補上。

資安審查：用得上的 Claude Code 功能

資安審查：如何設定 Claude Code

1. 連接工具

   /security-review 在任何有 origin 遠端的工作階段裡都能用。要做完整掃描，就從官方 marketplace 安裝 Claude Security 外掛；它需要 Python 3.9 以上，以及付費方案或 API 存取權。

   # 在 Claude Code 工作階段裡：安裝掃描工具
   /plugin install claude-security@claude-plugins-official
   
   # 合併前以 high 強度掃描你的分支
   /claude-security scan my branch at high

2. 把規則寫進 CLAUDE.md

   Claude Code 在每個工作階段開始時都會讀取 CLAUDE.md，claude -p 的執行也一樣。把這項工作的規則寫在那裡；規則很長的話，放進 .claude/skills/ 下的 skill。參見 CLAUDE.md 指南。

   ## 資安審查規則
   - 審查每個動到 auth/、billing/ 或 SQL 的 pull request。
     找注入、缺少的授權檢查、寫在程式碼裡的機密，
     以及回傳給錯誤使用者的資料。
   - 每個發現標上 Critical、High、Medium 或 Low，
     附上檔案、行號和可能的利用方式。
   - 絕不對正式環境或任何不屬於我們的東西執行攻擊程式。
     閱讀程式碼，在本機測試。
   - 修正一律開 pull request；絕不推送到 main。

3. 不開互動介面也能執行

   claude -p 執行一個任務後就結束，所以 cron、CI 或其他工具都能啟動它。用 --allowedTools 或 --permission-mode 決定哪些事不必詢問就能做；--output-format json 會連同成本一起回傳結果。

   # 從 CI 或 cron 對分支做一輪資安檢查
   claude -p "對這個分支執行 /security-review，並依嚴重程度列出發現" \
     --output-format json > security-review.json

4. 排入排程

   用 /schedule 設成雲端排程任務（Pro、Max、Ultra、Team 和 Enterprise 方案）、設成桌面排程任務，或在工作階段開著時用 /loop。參見如何讓 Claude Code 主動工作。

來源：Claude Code 文件

限制與安全

• 它讀的是你簽出的程式碼，不是正在運作的網站，所以抓不到設定錯誤的伺服器。
• 掃描結果不固定：兩次執行可能找出不同的問題。要定期執行，而不是只跑一次。
• 它是掃描工具和相依套件警示的補充，不能取代它們，也不能取代滲透測試。
• 自 Claude Code v2.1.302 起，claude -p 以 Manual 模式啟動：需要核准的動作，除非有規則允許，否則一律拒絕。只允許這項工作需要的工具。

資安審查，用 Claude Code 還是 Codex？

規則可以共用。在 AGENTS.md 寫一次，再把 @AGENTS.md 放進 CLAUDE.md，兩個 agent 就會讀同一份檔案。

另一個 agent 的逐步做法：Codex 資安審查。

資安審查：讓它成為某個人的固定工作

指令只在有人記得時才會執行。Crewmark 把你自己的 Claude Code 變成 AI 員工，有職位、量化目標、工作時間和心跳，工作就會依排程完成，並出現在看板上。

1. 從職位開始

   AI 軟體工程師：在職位說明裡寫上這些規則。

2. 把工作放上它的看板

   把這項工作加成週期性 issue。員工依心跳醒來，做完後以評論回報。

3. 相關內容

   不屬於資安問題的 bug，參見程式碼審查。

常見問題