需启用qoder内置sast扫描功能，配置自定义敏感词规则，结合cli执行全量离线扫描，并在agent模式中嵌入审计任务流以实现硬编码密码等安全漏洞的自动识别。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用Qoder进行开发时，希望自动识别源代码中潜在的硬编码密码及其它安全漏洞，则需启用其内置的安全审计能力。以下是实现该目标的具体操作路径：
一、启用Qoder内置SAST扫描功能
Qoder集成静态应用安全测试（SAST）引擎，可在IDE内实时分析代码结构，定位高风险模式，如明文密钥、SQL拼接、不安全随机数等。该功能默认关闭，需手动激活以触发后台扫描流程。
1、打开IntelliJ IDEA或兼容JetBrains IDE，进入Settings → Other Settings → Qoder → Security Scanning。
2、勾选Enable static security analysis on file save选项。
3、在Rule Set下拉菜单中选择OWASP Top 10 + Hardcoded Secrets预设规则集。
4、点击Apply并重启IDE使配置生效。
二、配置自定义敏感词扫描规则
当项目存在非标准密钥格式（如内部Token前缀、定制化API密钥命名）时，内置规则可能遗漏。此时可通过添加正则表达式规则增强检测覆盖，确保私有凭证不被忽略。
1、在IDE中打开Qoder Settings → Custom Secret Patterns页面。
2、点击+ Add Pattern按钮。
3、输入模式名称，例如INTERNAL_API_KEY。
4、在正则表达式字段填入：(?i)(?:internal|corp)_api[_-]key\s*[:=]\s*["']([a-zA-Z0-9+/]{32,})["']。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
5、设置严重等级为Critical，保存规则。
三、结合CLI执行全量离线扫描
对于CI/CD流水线或批量审查场景，Qoder CLI提供无GUI环境下的深度扫描能力，支持排除vendor目录、跳过测试文件，并生成JSON格式报告供后续工具解析。
1、在终端中执行命令：qoder-cli scan --path ./src --exclude vendor,test --output report.json --severity high,critical。
2、等待扫描完成，检查输出路径下是否生成report.json文件。
3、使用jq工具提取硬编码项：jq '.issues[] | select(.ruleId == "G101")' report.json。
4、确认返回结果中包含文件路径、行号及匹配内容片段。
四、在Agent模式中嵌入审计任务流
Qoder的Agent模式支持将安全扫描作为自动化开发流程中的一个环节，可与代码生成、测试编写串联执行，形成“写—审—测”闭环，避免人工遗漏。
1、在Qoder聊天面板中输入自然语言指令：请为当前项目执行一次完整安全审计，重点检查硬编码密码和SQL注入风险，并生成修复建议。
2、Agent自动调用SAST模块扫描全部Java/Python/Go源文件。
3、识别出匹配G101（硬编码凭证）、G201（SQL注入）规则的问题后，生成带上下文的定位信息。
4、对每个问题，Agent输出两行修复方案：第一行为推荐替换方式，第二行为对应配置中心引用示例。
