codebuddy 支持五种本地代码安全检测路径：一、启用内置 codevulnscanner ai skills 实时扫描；二、通过 openclaw cli 执行语言指定深度审计；三、配置定时扫描与 git 门禁拦截；四、对接 sonarqube 实现规则融合与联合分析；五、在 lighthouse 沙箱中隔离运行高危代码并生成行为指纹。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用 CodeBuddy 对本地项目开展安全检测与漏洞识别，则可借助其内置的安全 AI Skills 与 OpenClaw 兼容体系完成自动化代码审计。以下是实现该目标的多种技术路径：
一、启用内置安全 AI Skills 进行实时扫描
CodeBuddy 集成腾讯推出的“安全 AI Skills”插件体系，其中包含专用于代码漏洞扫描的模块，可在本地沙箱环境中运行，不上传源码，保障隐私与合规性。
1、打开 CodeBuddy 主界面，点击右上角头像进入「Claw 设置」。
2、在左侧菜单选择「Skills 管理」，右侧列表中查找名为 CodeVulnScanner 的技能项。
3、若未启用，点击右侧开关按钮将其激活；若未安装，点击「导入」并选择预置包中的 code-vuln-scan-v2.1.0.skill 文件。
4、返回主界面，在微信或本地指令框中发送：对当前项目执行基础漏洞扫描，CodeBuddy 将自动识别工作目录下的 Git 仓库并启动扫描。
二、通过 CLI 模式调用 OpenClaw 安全扫描命令
CodeBuddy 完全兼容 OpenClaw 技能生态，支持在终端中以命令行方式触发深度代码审计，适用于 Python、JavaScript、Java 等主流语言项目。
1、确保已配置 OpenClaw CLI 工具：在 WSL2 或 macOS 终端中执行 openclawskills list，确认 security-scanner 插件已注册。
2、切换至待审计项目的根目录，运行：openclaw run security-scanner --lang=python --level=high。
3、扫描过程中，CodeBuddy 会在本地沙箱内加载 AST 解析器与 CVE 规则库，输出含 CWE 编号、风险等级及修复建议的 Markdown 报告。
4、报告生成后，自动推送至绑定的微信对话窗口，并同步保存至项目根目录下的 ./reports/security/ 子路径。
三、配置定时自动扫描与门禁拦截
针对团队协作场景，可通过设置周期性扫描任务与质量门禁策略，将漏洞检测嵌入日常开发流程，实现主动防御。
1、在「Claw 设置」→「自动化任务」中点击「新建任务」。
2、任务类型选择「代码安全扫描」，设定触发时间为每日凌晨 2:00，并指定扫描路径为 /Users/xxx/workspace/*（Windows 用户填写 C:\dev\projects\*）。
3、在「门禁策略」中勾选「阻断高危漏洞提交」，当扫描发现 CWE-89（SQL 注入）或 CWE-79（XSS）类问题时，自动拒绝 Git Push 操作。
4、保存任务后，系统将在指定时间触发扫描，并将结果推送至企业微信安全群，同时写入 SonarQube 实例的关联项目仪表盘。
四、对接 SonarQube 联合分析
CodeBuddy 可通过 MCP 协议与 SonarQube 实例建立双向连接，实现规则互补与结果聚合，提升漏洞检出率与误报抑制能力。
1、在「Claw 设置」→「外部服务」中点击「添加 SonarQube」，填入实例地址、Token 及项目 Key。
2、启用「规则同步」选项，使 CodeBuddy 自动拉取 SonarQube 中启用的 Security Hotspot 和 Vulnerability 规则集。
3、执行扫描时，CodeBuddy 将融合本地 AST 分析结果与 SonarQube 的历史基线数据，对重复路径进行去重，并对低置信度结果发起二次验证。
4、联合分析报告中，每条漏洞条目均标注来源标识：[CB] 表示由 CodeBuddy 独立发现，[SQ] 表示由 SonarQube 提供上下文增强。
五、在 Lighthouse 沙箱中隔离执行高危脚本
对于疑似存在恶意行为或需动态验证的代码片段（如反射调用、eval 表达式、远程资源加载），CodeBuddy 支持在轻量级 Lighthouse 沙箱中执行受限运行，捕获真实行为特征。
1、在 IDE 中选中待分析代码块，右键选择「Send to Lighthouse Sandbox」。
2、沙箱自动构建最小化执行环境，禁用网络外连、文件系统写入及进程派生等高风险系统调用。
3、运行期间实时监控内存分配、堆栈深度、异常抛出频率及敏感 API 调用序列，生成行为指纹。
4、若检测到 可疑的反调试逻辑 或 非常规的加密函数调用链，立即终止执行并标记为 潜在混淆型恶意代码。
