codebuddy 通过本地化五层联动机制保障代码安全：全量语义扫描、chat交互诊断、ci/cd编译拦截、ide实时提示及叠加使用策略，全程不上传源码，覆盖开发全环节。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

CodeBuddy 通过本地化、多层联动的安全机制保障代码安全，所有扫描与分析均在用户本地环境完成，不上传源码，不依赖云端模型推理。关键在于把五种检测能力组合使用，覆盖编码、提交、构建、审查全环节。

启用安全智能体全量扫描

这是发现深层漏洞的基础动作，基于语义级静态分析识别 SQL 注入、XSS、硬编码密钥等 OWASP Top 10 缺陷。

• 在 IDE 中右键项目根目录，选择「CodeBuddy → Run Security Scan」
• 扫描完成后，左侧「Security Issues」面板会高亮标记风险项
• 点击任意条目，右侧自动显示漏洞位置、CWE 编号、触发示例及一键可应用的修复补丁代码

开启 Chat 模式交互式诊断

弥补静态扫描盲区，适合验证业务逻辑适配性、权限边界或输入污染路径是否被正确处理。

CodeBuddy CLI for OpenClaw

CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题

下载

• 在 CodeBuddy Chat 界面提问，例如：“这段生成的代码用 request.args 获取参数后拼进 os.system()，是否存在命令注入？”
• 粘贴完整代码片段，包含参数来源（如 form.get、query string）、调用上下文和输出方式
• 系统返回原理说明 + 安全替代方案（如 subprocess.run 配合 shlex.split）+ 框架适配示例（Flask/Django）

配置 CI/CD 编译期拦截

把安全校验嵌入流水线，在代码合并前强制阻断高危代码进入测试环境。

• 在项目根目录新建 .codebuddy.yml，写入：
  security:
    enable: true
    severity-threshold: high
• 在 Jenkins 或 GitLab CI 脚本中加入：
  codebuddy-cli scan --format=checkstyle
• 构建失败时，日志直接指出漏洞文件路径与补丁哈希值，支持一键回滚或热修复

激活 IDE 实时悬浮提示

编辑过程中零延迟预警，对 eval()、exec()、String.format()、unsafe deserialization 等敏感模式即时标红并建议替换。

• 确认插件已启用「Real-time Security Hint」选项
• 光标悬停在危险 API 上时，弹出气泡提示风险类型与修复建议
• 点击「Apply Fix」按钮，自动替换为白名单校验、ParameterizedQuery 或安全序列化方式

不复杂但容易忽略——这五种方式不是“选一个用”，而是按需叠加。日常开发开实时提示 + 手动触发全量扫描；团队协作必须加 CI 拦截；遇到模糊逻辑问题就切到 Chat 深度追问。所有操作都在本地沙箱运行，隐私和合规性有明确保障。