文心快码企业版全库扫描可自动识别跨语言供应链风险并定位至行号；需先绑定git平台、授权读取权限、标记生产/核心仓库、关闭增量扫描模式，再通过控制台批量或cli命令（≥v3.7.2）执行全量扫描。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在企业级代码仓库中快速识别供应链安全隐患，比如被弃用的npm包、存在已知CVE漏洞的Python依赖、或硬编码的云凭证密钥，文心快码企业版的全库扫描功能能自动完成跨语言、跨仓库、跨分支的深度扫描，并直接定位到具体行号和风险等级。
启用全库扫描前的必要准备
登录文心快码企业版Web控制台后，进入【安全中心】→【扫描策略】，确认当前组织已绑定至少一个Git平台（GitHub Enterprise Server / GitLab Self-Managed / Bitbucket Data Center），且已授权“代码读取+提交历史读取”权限。未完成该授权会导致扫描仅覆盖默认分支最新快照，漏掉历史引入的隐蔽风险。
检查目标仓库是否已在【资产目录】中标记为“生产环境”或“核心供应链组件”。只有打标仓库才会被纳入全库扫描范围，未打标的仓库即使手动触发也仅执行轻量级单次扫描。
【必须关闭“增量扫描模式”开关】——该模式默认开启，仅比对上次扫描后的变更文件，会完全跳过存量高危代码（如三年前引入的log4j-core 2.14.0）。全库扫描需在策略编辑页顶部明确切换为“全量扫描”。
执行一次全库深度扫描
方法一：控制台批量触发
进入【资产目录】→勾选3个及以上待检仓库（支持Ctrl多选）→点击右上角“批量扫描”→选择“全库深度扫描（含历史提交）”→确认启动。扫描任务将在后台队列排队，大型仓库（>50万行）预计耗时8–22分钟。
方法二：CLI命令行触发（推荐用于CI/CD集成）
在部署了文心快码Agent的构建机上执行：wenxin-scan --repo-group supply-chain-critical --full-scan --include-history --output-json > report.json。该命令强制扫描所有分支的全部提交记录，并导出结构化结果供后续告警系统消费。
注意：CLI方式要求Agent版本≥v3.7.2，旧版本不支持--include-history参数，会静默降级为仅扫描HEAD。
从扫描报告中精准定位供应链隐患
扫描完成后，进入【安全中心】→【漏洞报告】→筛选“扫描类型=全库深度扫描”，点击最新报告右侧“查看详情”。报告按风险等级分Tab页展示，“高危”页签中每条记录包含：漏洞ID（如CVE-2021-44228）、影响组件（log4j-core:2.14.0）、精确位置（仓库名/分支名/文件路径:行号）、关联提交哈希（commit ID）。
点击任意一条高危项右侧的“定位源码”按钮，页面将自动跳转至对应仓库的Web UI，并高亮显示问题代码行——例如在build.gradle第87行发现implementation 'org.apache.logging.log4j:log4j-core:2.14.0'，同时底部面板列出该依赖传递引入的全部下游模块。
对硬编码凭证类风险（如AWS_ACCESS_KEY_ID），系统会额外标记“首次出现提交”，方便追溯是哪次合并引入了该密钥——这一步直接锁定责任人，避免在数百次提交中人工翻查。
