WorkBuddy通过集成SonarQube、Semgrep、Bandit、Trivy和CodeQL五大工具实现多维度代码安全检测：分别覆盖静态分析、轻量规则匹配、Python专项扫描、依赖漏洞识别及深度语义分析。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy在分析代码时，会主动检测潜在的安全隐患，例如硬编码密钥、不安全的反序列化调用、越界访问或未校验的用户输入。它并非独立实现全部检测逻辑，而是通过集成成熟的安全扫描工具来完成识别任务。以下是其采用的具体工具及对应识别机制：
一、集成SonarQube进行静态代码分析
SonarQube提供丰富的规则集，覆盖OWASP Top 10中的多种漏洞类型，如SQL注入、XSS、不安全的配置等。WorkBuddy将其作为核心静态分析引擎，调用其API获取代码质量与安全问题报告。
1、WorkBuddy将用户提交的代码仓库克隆至临时工作区。
2、执行sonar-scanner命令，指定sonar.host.url为预置的SonarQube服务地址。
3、解析返回的JSON格式分析结果，提取severity为CRITICAL或BLOCKER的安全问题条目。
4、将问题定位信息（文件路径、行号、规则ID）映射回原始代码片段并高亮显示。
二、调用Semgrep执行轻量级规则匹配
Semgrep以快速、低误报著称，支持自定义YAML规则，适用于检测特定模式的安全缺陷，如明文密码赋值、危险函数调用（如eval、exec）等。WorkBuddy内置了200+社区维护的security规则，并可动态加载用户上传的规则集。
1、WorkBuddy启动semgrep --config p/security --json --no-error --timeout 60命令扫描项目根目录。
2、过滤输出中match字段非空且check_id以"security-"开头的结果项。
3、对每个匹配项提取start.line、end.line及extra.message字段，生成上下文快照。
4、将匹配内容与代码语法树比对，排除注释和字符串字面量中的伪匹配。
三、嵌入Bandit用于Python项目专项扫描
Bandit专为Python设计，能识别pickle.load、os.system、subprocess.Popen等高风险调用及其参数污染路径。WorkBuddy在检测到requirements.txt或pyproject.toml时自动启用该模块。
1、WorkBuddy识别项目中.py文件占比超过30%且存在pip依赖声明时激活Bandit流程。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、运行bandit -r . -f json -n 5 --skip B101,B308指令，跳过基础测试和已知低危项。
3、从JSON输出中提取issues数组，筛选confidence为HIGH且severity为HIGH的记录。
4、将issue中的line_number与AST解析结果交叉验证，确认调用链是否可达用户可控输入。
四、对接Trivy代码库依赖扫描
Trivy不仅扫描容器镜像，也支持直接分析项目依赖文件（如package-lock.json、Pipfile.lock），识别其中引用的第三方组件是否存在已知CVE漏洞。WorkBuddy将其作为供应链安全检查环节。
1、WorkBuddy查找项目根目录下的lock文件或manifest文件（如go.mod、Cargo.lock）。
2、执行trivy fs --security-checks vuln --format json --ignore-unfixed ./ 命令。
3、解析结果中Results数组内的Vulnerabilities列表，提取CVSS Score ≥ 7.0的条目。
4、将漏洞影响的包名与import语句或require调用位置关联，标注具体引入路径。
五、启用CodeQL查询引擎执行深度语义分析
CodeQL将代码转化为关系数据库，支持编写类SQL查询精准定位复杂漏洞模式，例如权限提升路径、认证绕过条件分支等。WorkBuddy预置了GitHub Security Lab发布的标准安全查询集，并支持用户上传自定义QL文件。
1、WorkBuddy检测到Java、JavaScript、C#或Python项目时，自动构建CodeQL数据库。
2、依次执行预载的qlpack.yml中声明的安全查询文件，限定超时时间为120秒。
3、收集qhelp、results两个输出流，提取result中locations字段指向的精确代码位置。
4、对每个result entry，渲染sourceLocation对应的源码行及前/后两行上下文，并加粗显示触发条件表达式部分。
