qoder security需手动启用实时漏洞检测，启用后编辑器毫秒级标红高危模式并提供修复建议；关键逻辑完成后须主动触发l2+l3深度扫描，结果在右侧面板结构化展示，支持一键跳转、标记识别、上下文追踪及自动修复。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
在Qoder中发现潜在Bug，不是等程序崩溃后翻日志，而是让AI在写代码的当下就识别出逻辑漏洞、边界遗漏或安全风险——比如用户传入空字符串却没校验、SQL拼接未参数化、异步调用未加超时控制。这一步必须在编码会话内触发，离开对话窗口就失效。
启用Qoder Security实时漏洞检测
Qoder Security默认不激活，必须手动开启才能在编辑器中实时标红高危模式。关闭状态下，/security-scan命令不会响应。
打开Qoder IDE → 左下角点击齿轮图标 → 进入Settings → Qoder → Security → 勾选Enable real-time security scanning in editor。
该选项启用后，所有新输入或修改的代码行会在毫秒级完成L1正则拦截（如硬编码密码、eval调用、危险重定向），并自动插入修复建议。若未勾选，后续所有扫描操作均无实时反馈。
主动发起一次深度安全扫描
当完成一段关键逻辑（如登录鉴权、支付回调、文件上传）后，需手动触发语义级检查，覆盖L2与L3防护层。
方法一：在智能体对话框中直接输入 /security-scan，回车执行。
方法二：右键选中目标函数或代码块 → 选择“Scan with Qoder Security” → 等待状态栏显示“Scanning… (L2+L3)”。
Qoder Linux版是由阿里推出的智能体自主开发工作台，支持开发者通过定义需求即可让Agent团队“自动驾驶”，自主完成代码执行、验证与交付的全流程。其全新的Quest独立视窗集成了任务管理与状态追踪能力，并支持跨项目多任务并行处理，显著提升开发效率。此外，Qoder还提供专家团模式与团队级知识引擎，适配复杂开发场景。
注意：此操作仅扫描当前选中范围及关联调用链，不扫描整个项目。若要全量扫描，请改用CLI命令 qoder-cli scan --path ./src --severity critical,high。
查看扫描结果并定位问题根源
扫描完成后，问题会以结构化卡片形式出现在右侧【Security Issues】面板中，每张卡片包含：漏洞类型、风险等级、触发位置、修复建议、原始代码快照。
第一步：点击任意一张卡片的“Show in Editor”按钮，光标自动跳转到对应行号。
第二步：观察左侧灰色标记栏是否出现黄色三角形图标——这是L2语义扫描标记；若为红色实心圆，则是L3跨文件数据流追踪确认的高危路径。
第三步：将鼠标悬停在问题行上，浮层中会显示完整上下文路径，例如：“data flows from request.query.id → UserService.findById() → SQL query string”，这说明ID参数未经校验直接拼入SQL，已构成SQL注入链。
第四步：点击浮层中的“Apply Fix”按钮，Qoder会自动替换为参数化查询，并保留原有业务逻辑不变。
