用途
IaC Misconfig Scan 用于在基础设施即代码（IaC）交付之前发现其中的安全配置错误。它定位为只读扫描：以 file:line 形式标记问题，不修改任何文件。
主要能力
该技能会查找以下 IaC 文件：Dockerfile、docker-compose*.yml、.tf 以及 .github/workflows/.yml，并逐项对照检查规则进行审查，报告 file:line、严重程度和修复建议。
容器（Dockerfile / Compose）检查项
- 没有 USER 指令 / 以 root 运行：容器被攻破会升级为宿主机级风险。
- 全局可写文件权限（例如 0777）：存在篡改和权限问题。
- 使用 :latest 或未固定版本的基础镜像：构建不可复现，更新未经审查。
- 下载并执行的构建步骤（将远程脚本通过管道传入 shell）：镜像中包含未经验证的远程代码。
- 在 ENV 或 ARG 中硬编码密钥 / 凭据：密钥会泄漏到镜像层中。
- privileged: true、host 网络或宿主机路径挂载（Compose）：可能导致容器逃逸 / 宿主机暴露。
- 使用带远程 URL 的 ADD：静默、未经验证的远程获取（建议改用 COPY）。
Terraform 检查项
- 公开对象存储 / 开放入口（0.0.0.0/0）：数据暴露 / 攻击面开放。
- 在 .tf 或 state 中硬编码密钥：凭据泄漏。
- 未加密存储 / 禁用日志：静态数据与审计缺口。
GitHub Actions 检查项
- Actions 固定到标签而非 commit SHA：供应链篡改风险。
- 权限过宽（或未设置权限）：令牌作用域过大。
- 密钥被回显，或在 pull_request_target 中检出 PR 代码时使用密钥：密钥外泄。
使用方式
无需任何前置条件。纯 Claude Code 即可运行，直接读取 IaC 文件，不需要 MCP。
触发方式示例：
- “Scan my Dockerfile / Terraform / workflows for misconfigs”
- “Is my infrastructure-as-code secure?”
- “IaC security review”
工作流程：先查找 IaC 文件（Dockerfile、docker-compose*.yml、.tf、.github/workflows/.yml），再逐项对照上述检查规则进行审查，最后报告 file:line、严重程度和修复建议。
输出格式
输出按严重程度排序的报告，例如：
## IaC Misconfig Scan
**1 high, 2 medium**
### HIGH
- Dockerfile:1 — base image uses ":latest"; pin to a digest for reproducible,
reviewable builds.
### MEDIUM
- .github/workflows/ci.yml:7 — action pinned to a tag, not a commit SHA.
- docker-compose.yml:12 — service runs without a non-root USER.
适用场景
- 在提交或部署前对 Dockerfile、Compose、Terraform、GitHub Actions 做安全配置自查。
- 作为 IaC 安全审查（IaC security review）的快速检查手段。
限制
- 仅做诊断，不修改任何文件。
- 官方资料未说明是否支持除上述文件类型之外的 IaC 工具或平台。
- 官方资料未说明是否提供自动修复、CI 集成或持续扫描能力。
- 官方资料未说明收费、价格或授权方式。
- 若需在每次 PR 上强制执行 IaC 与 SAST 检查，资料中提及可参考 QualityMax（qualitymax.io），但该产品的具体功能、收费与使用方式暂未提供。