cc-audit 是一个轻量级的命令行工具，用于根据 12 条基线规则检查 AI 编码代理的配置文件（CLAUDE.md 或 AGENTS.md）。它采用单个 Python 文件编写，无外部依赖，代码约 240 行，便于集成和使用。该工具旨在帮助开发者确保其代理配置符合最佳实践，避免常见问题。
主要能力
- 检测缺失的基线规则，包括令牌预算、可见失败、精准修改、约定优于新奇等 12 条规则。
- 发现泄露的机密信息，如 GitHub 个人访问令牌（PAT）、AWS 密钥、API 密钥和明文密码。
- 识别缺失的“项目特定”部分。
- 标记超过 200 行合规悬崖线的文件。
- 输出合规分数、缺失规则列表以及泄露机密标志。
- 退出码：0 表示通过，1 表示警告，2 表示失败。
- 支持 --json 选项，输出机器可读结果。
12 条规则
- 编码前思考——在编写代码前提出权衡和假设。
- 简单优先——用最少的代码解决所述问题。
- 精准修改——只触及相关代码，匹配现有风格。
- 目标驱动执行——预先定义成功标准，在声称完成前验证。
- 不让模型做非语言工作——将确定性逻辑通过代码路由。
- 硬性令牌预算——限制每任务令牌消耗，在上限时停止并询问。
- 暴露冲突——不要平均两个不兼容的模式。
- 先读后写——先理解相邻代码。
- 测试由正确性门控——断言行为，而非形状。
- 长时间操作的检查点——在多步更改之间提交。
- 约定优于新奇——遵循既定模式而非发明。
- 可见失败——暴露部分失败、跳过的行和截断的输出。
使用方式
- 直接运行：作为 Python 脚本执行，检查指定的 CLAUDE.md 或 AGENTS.md 文件。
- 作为 GitHub Action：将配置文件放置在 .github/workflows/cc-audit.yml 中，每次 PR 都会在运行摘要中生成合规报告，如果推送包含泄露的机密，则构建失败。
- 使用 --json 选项获取机器可读输出。
适用场景
- 开发团队使用 AI 编码代理时，确保代理配置符合最佳实践。
- 在 CI/CD 流程中集成，自动检查配置文件合规性。
- 个人开发者审查自己的代理配置文件。
限制
- 根据对 492 个公开 CLAUDE.md 文件的扫描，中位数合规分数仅为 3/12，没有文件获得满分，表明普遍合规性较低。
- 最常被遗漏的规则是“不要越界编辑”，98% 的文件未遵守。
- 未发现泄露的生产机密，但工具仍可检测。
- 规则源自 claude-code-pro-pack，可能不涵盖所有场景。
- 工具仅检查配置文件，不执行实际代码。
其他信息
- 仓库中包含数据集 data/scan-500.json 和分析。
- 工具与 claude-code-pro-pack 配对使用。
