codebuddy提供四种依赖安全审计方式：一、集成tca引擎静态扫描；二、ci/cd流水线自动检查；三、沙盒环境动态验证漏洞路径；四、协同owasp dependency-check插件检测。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在开发过程中引入了大量第三方依赖，但不确定其中是否存在已知安全风险，则可能是由于依赖包未经过系统性漏洞扫描。以下是CodeBuddy支持的多种依赖安全审计方式：
一、集成TCA代码分析引擎进行静态依赖扫描
该方法通过解析项目依赖树（如Maven pom.xml、npm package-lock.json），比对腾讯自研CVE漏洞库，识别出含已知漏洞的组件版本。扫描覆盖JVM系、Node.js生态及主流语言依赖管理格式。
1、在IDE中右键点击项目根目录，选择“CodeBuddy → 扫描依赖安全风险”。
2、等待扫描完成，界面自动高亮显示存在CVE-2023-1234等编号漏洞的依赖项。
3、点击具体漏洞条目，查看受影响函数路径与最小修复版本建议。
二、CI/CD流水线中嵌入自动依赖检查
该方法在代码提交或合并前触发后台扫描，将依赖漏洞检测纳入质量门禁，避免带风险组件进入生产环境。支持与Jenkins、GitLab CI、腾讯云CODING平台原生对接。
1、在CI配置文件（如.gitlab-ci.yml）中添加codebuddy-dependency-scan步骤。
2、配置漏洞等级阈值，例如设置critical级别漏洞触发构建失败。
CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题
3、执行流水线后，控制台输出依赖漏洞报告，并附带一键升级补丁命令。
三、沙盒环境下动态验证漏洞利用路径
该方法不依赖签名匹配，而是基于代码语义图模拟攻击者调用链，识别真实可利用的依赖漏洞路径，有效降低误报率。适用于Spring Cloud、React Native等复杂依赖组合场景。
1、在CodeBuddy IDE工作台中打开“安全智能体”面板。
2、勾选“启用动态调用链分析”，并指定入口函数（如Controller层接口方法）。
3、系统自动构建调用图谱，标出从HTTP请求到存在漏洞的Apache Commons Collections 3.1版本的完整路径，并提示隔离该依赖或替换为commons-collections4。
四、OWASP Dependency-Check插件协同检测
该方法复用行业标准工具链，由CodeBuddy调用本地部署的Dependency-Check CLI，同步NVD漏洞数据库，实现跨组织漏洞库统一治理。
1、在项目根目录运行codebuddy dep-check --sync-nvd命令，首次同步需约2分钟。
2、执行codebuddy dep-check --report生成HTML格式漏洞清单。
