CodeBuddy通过五种方式实现Web应用安全加固：一、全量语义扫描定位漏洞并提供修复补丁；二、Chat交互式诊断生成框架适配修复方案；三、CI/CD编译期拦截高危漏洞；四、IDE实时悬浮提示危险API并一键修复；五、架构分析追溯污染链精准定位防护缺失环节。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在开发Web应用时，发现接口代码存在潜在安全风险，但难以准确定位CSRF、XSS或SQL注入漏洞的具体位置与修复路径，则可能是由于缺乏多维度、上下文感知的安全分析能力。以下是CodeBuddy实现Web应用安全加固的五种方式：
一、启用安全智能体全量扫描
该方式基于语义级静态分析引擎，对源码执行跨文件数据流追踪，覆盖SQL注入、XSS、CSRF等OWASP Top 10漏洞模式，并关联CVE/NVD漏洞库进行已知攻击链匹配。
1、在IDE中右键项目根目录，选择“CodeBuddy → Run Full Security Scan”。
2、扫描完成后，在左侧“Security Dashboard”面板查看按CVSS评分排序的漏洞列表，其中CSRF漏洞将标注为“Missing Anti-CSRF Token”，XSS漏洞标注为“Untrusted Input Rendered Without Encoding”，SQL注入标注为“Raw User Input in SQL Query”。
3、点击任一漏洞条目，右侧显示精确到行号的污染路径图、风险等级、触发示例及自动生成的修复补丁代码（含注释说明）。
二、在Chat模式下交互式诊断与修复
该方式适用于漏洞上下文复杂、需结合业务逻辑判断的场景，支持自然语言提问并获取可落地的修复建议，包括框架适配方案与安全配置项。
1、打开CodeBuddy Chat界面，输入类似“Spring Boot控制器接收前端JSON参数并直接拼接到JDBC查询中，如何防止SQL注入？同时该接口未校验Referer且无CSRF token，如何一并加固？”的提问。
2、粘贴对应Controller类与前端AJAX调用代码片段，确保包含@RequestParam/@RequestBody注解、数据库操作逻辑及表单提交方式。
3、CodeBuddy将返回分层修复方案：SQL注入部分提供PreparedStatement改写示例与MyBatis #{}语法对照；CSRF部分给出@EnableWebSecurity配置片段与Thymeleaf模板中添加csrfToken的写法；XSS部分说明response.getWriter().write()调用处应替换为HtmlUtils.htmlEscape()。
三、接入CI/CD流水线实现编译期拦截
通过MCP Server配置策略规则，在代码提交或构建阶段强制执行安全检查，对高危漏洞实施阻断，防止带病代码进入测试环境。
1、在项目根目录添加.codebuddy.yml文件，配置security: {enable: true, severity-threshold: high, include-rules: ["sql-injection", "xss-reflected", "csrf-missing-token"]}。
CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题
2、在Jenkins Pipeline脚本中插入codebuddy-cli scan --format=checkstyle --fail-on=high命令。
3、构建失败时，控制台日志将直接指出漏洞所在文件路径、行号及一键可应用的补丁哈希值（用于git apply）。
四、使用IDE插件实时悬浮提示
在编码过程中即时识别危险函数调用、不安全API使用及缺失防护机制，无需主动触发扫描，显著降低漏洞引入概率。
1、确保CodeBuddy插件已启用“Real-time Security Hint”与“Framework-Aware Validation”双选项。
2、当编辑器光标停留在HttpServletRequest.getParameter()、response.getWriter().write()、或未加@CsrfToken注解的POST方法上时，自动弹出警告气泡，标明漏洞类型与CWE编号。
3、点击“Apply Fix”按钮，将自动插入HttpServletResponse.encodeURL()包装、添加@Validated注解、或在HTML模板中注入th:utext替代th:text。
五、运行架构分析智能体追溯污染链
该方式从HTTP入口点出发，逆向追踪用户输入在服务端各组件间的流转路径，精准定位防护缺失环节，特别适用于微服务或多层过滤场景下的CSRF与XSS漏判问题。
1、在CodeBuddy主界面选择“Architecture → Trace Taint Flow”，输入目标请求路径（如 /api/v1/user/update）。
2、系统自动解析Spring MVC路由、Feign客户端调用、Redis缓存写入、以及最终JSP/Thymeleaf渲染节点。
3、生成可视化污染链图，标红显示未做CSRF校验的Filter链路、未调用XSS过滤器的Service层返回值、以及SQL拼接所在的DAO方法，每处均附带对应框架的官方加固文档链接与代码行内修复建议。
