需将workbuddy集成至开发流程并配置规则集：一、启用sqli与xss检测插件并设高敏感度；二、绑定git仓库并设置push/main及pr触发扫描；三、用yaml编写custom-orm-rawquery-sqli等自定义规则；四、通过扫描报告定位高危代码行并依建议修复；五、安装ide插件实现编码时实时风险提示。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

如果您希望利用WorkBuddy辅助开展代码安全扫描，识别潜在的SQL注入与XSS风险，则需将其集成至开发流程中并配置对应规则集。以下是具体实施步骤：

一、配置WorkBuddy静态分析插件

WorkBuddy通过静态应用安全测试（SAST）引擎对源码进行词法与语法解析，匹配已知危险模式。需启用SQL注入与XSS专用检测规则包，确保覆盖参数拼接、反射输出、未过滤用户输入等典型漏洞场景。

1、在WorkBuddy主界面点击“设置”图标，进入“插件管理”页面。

2、搜索并启用SQLi-Detection-Rule-Pack与XSS-Reflective-Output-Rule-Pack两个插件。

3、点击“规则配置”，将SQL注入检测等级设为高敏感度（含字符串拼接+exec调用），XSS检测等级设为全上下文（含HTML/JS/URL编码环境）。

二、绑定代码仓库并设置扫描触发条件

WorkBuddy支持对接Git类仓库，在提交前或Pull Request阶段自动拉取代码并执行增量扫描，避免遗漏新引入的风险片段。

1、进入“项目管理”页，点击“新增项目”，选择对应Git平台（如GitHub、GitLab）并授权访问权限。

2、在仓库列表中勾选目标代码库，点击“启用自动扫描”。

3、在触发策略中勾选push到main分支与新建Pull Request时两项触发条件。

三、编写自定义规则扩展检测能力

标准规则可能无法覆盖业务特有框架的危险API调用方式，可通过WorkBuddy提供的YAML规则语言定义定制化检测逻辑，例如识别某内部ORM中绕过预编译的rawQuery方法。

1、进入“规则中心”→“自定义规则”，点击“新建YAML规则”。

workbuddy-pet

WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo

下载

2、在rule_id字段填写custom-orm-rawquery-sqli，在pattern字段填入正则表达式\.rawQuery\([^)]*?(\$\{|\+\s*request\.|\.get\(|\.getParameter\()\)。

3、在severity字段设定为CRITICAL，保存后在项目规则组中启用该条目。

四、解析扫描报告并定位高危代码行

WorkBuddy生成的扫描结果按风险等级分组，并关联具体文件路径、行号及上下文代码快照，便于快速验证是否为真实漏洞而非误报。

1、在“扫描历史”中打开最新一次报告，筛选状态为UNCONFIRMED且严重性为CRITICAL或HIGH的条目。

2、点击某条SQL注入告警，查看“代码上下文”面板中高亮显示的String sql = "SELECT * FROM user WHERE id = " + userId;语句。

3、在右侧“修复建议”栏中确认推荐替换为PreparedStatement或使用参数化查询接口。

五、集成IDE实时提示功能

通过安装WorkBuddy IDE插件，可在编码过程中即时标出存在风险的代码片段，实现“写即检”，大幅降低漏洞流入版本控制系统的概率。

1、在IntelliJ IDEA或VS Code插件市场中搜索并安装WorkBuddy Security Assistant扩展。

2、重启IDE后，在设置中绑定WorkBuddy账户及当前项目ID。

3、当编辑器光标停留在包含response.getWriter().print(input)的行时，底部状态栏立即显示[XSS] 反射式输出未过滤用户输入警告。