dfyx Code Security Audit 是一套由东方隐侠团队（EastSword）设计的代码安全审计技能，属于 Security Skills 集合，通过白盒静态分析方法论，对源代码中的安全漏洞进行系统化发现与验证，面向 AI 智能体运行。
【用途】 该技能用于对代码库进行安全审计，借助 AI 能力与深度数据流分析、业务逻辑理解来识别漏洞。它采用五阶段标准化审计协议，适合在代码审查、渗透测试准备、日常安全巡检等场景中系统性地排查安全问题。
【主要能力】 多语言支持：Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust。 覆盖十个安全维度：注入、认证、授权、反序列化、文件操作、SSRF、加密、配置、业务逻辑、供应链。 三种审计路线：
- 汇点驱动（Sink-driven）：用于注入、RCE 类问题；
- 控制驱动（Control-driven）：用于授权、业务逻辑类问题；
- 配置驱动（Config-driven）：用于配置、加密类问题。 内置真实案例库：基于 WooYun 漏洞案例（2010-2016）。
【五阶段审计协议】 第一阶段：侦察（占比 10%），输出架构图与攻击面清单。 第二阶段：模式匹配（占比 30%），输出高风险区域检查清单。 第三阶段：污点追踪与测试（占比 40%），输出已确认漏洞与测试验证报告。 第四阶段：验证与攻击链（占比 15%），输出漏洞验证报告。 第五阶段：结构化报告（占比 5%），输出完整审计报告。
【审计模式】 技能提供三种模式：
- Quick：适用于 CI/CD 和小型项目，覆盖严重漏洞、密钥、依赖 CVE，预计 5-10 分钟；
- Standard：适用于常规审计，覆盖 OWASP Top 10、认证/授权、加密，预计 30-60 分钟；
- Deep：适用于关键项目与渗透测试准备，覆盖全量、攻击链、业务逻辑，预计 1-3 小时。
【使用方式】 该技能不需要单独安装，通过 AI 智能体能力运行。使用时用自然语言提出审计请求即可，例如：
- “Audit this codebase for security vulnerabilities”
- “Perform a deep security scan of /path/to/project”
- “Check for SQL injection and authentication issues” 典型工作流会先输出模式、侦察结果、计划、覆盖范围与风险统计，再请求确认后开始扫描，例如： [MODE] deep [RECON] 874 files, Spring Boot 1.5 + Shiro 1.6 + JPA + Freemarker [PLAN] 5 Agents, D1-D10 coverage, estimated 125 turns [SCOPE] Critical: 10, High: 14, Medium: 12, Low: 4 Confirm to start? (yes/no)
【Python 辅助脚本】 技能的 Python 辅助脚本可通过以下方式安装：
Clone the repository
git clone https://github.com/EastSword/skill-dfyx_code_security_review.git cd skill-dfyx_code_security_review
Install Python dependencies (optional, for helper scripts)
pip install -r requirements.txt 依赖项（requirements.txt）： pylint>=2.17.0 bandit>=1.7.5 safety>=2.3.5 semgrep>=1.31.0 pyyaml>=6.0 辅助脚本包含：
- code_scan.py：扫描项目安全漏洞，支持 quick、standard、deep 模式；
- pattern_scanner.py：跨语言扫描危险模式（如 SQL 注入、命令注入、反序列化）；
- data_flow_analyzer.py：分析从 taint source 到 sink 的数据流，判断是否存在未净化路径并计算严重程度；
- secret_finder.py：检测硬编码密钥与敏感信息（如 AWS 访问密钥）。
【适用场景】 可用于常规代码安全审计、CI/CD 中的快速检查、关键项目的深度审计与渗透测试准备等。
【限制】 关于收费方式、价格、平台支持范围、具体检测效果与准确率等事实，资料中暂未提供。