WebStorm本身不提供OWASP Top 10或SAST级安全扫描能力，其内置检查仅覆盖编码规范、类型错误、未使用变量等质量类问题，不进行跨文件数据流分析，也不解析框架语义；真正的安全检测需依赖ESLint、SonarLint、Semgrep等外部工具集成，并通过WebStorm作为显示终端呈现结果。
WebStorm 本身不提供内置的、面向 OWASP Top 10 或 SAST 类型的代码安全性漏洞扫描能力——它没有集成 SonarQube、Checkmarx 或 Semgrep 这类引擎，也不会自动报出 SQL 注入、XSS、硬编码密钥等典型安全缺陷。
WebStorm 的“安全扫描”实际指代什么
用户常误以为 Alt+Enter 或 Analyze → Inspect Code 能发现安全漏洞，但 WebStorm 内置检查（Inspections）只覆盖基础编码规范、类型错误、未使用变量、潜在空指针等质量类问题。例如：
-
SQL injection vulnerability不在默认检查项中； -
dangerous eval()可能被标记，但仅当启用了 JavaScript 的 “Possibly unsafe operation” 检查且上下文明确； -
localStorage.setItem('token', ...)不会触发任何安全警告； - Spring Boot 中的
@RequestParam String id直接拼进 JPA Query，也无防护提示。
真正起作用的是第三方插件或外部工具集成，而非 IDE 原生功能。
用插件补足安全扫描能力（推荐路径）
必须手动安装并配置可信插件才能获得基础安全语义识别：
- 安装
Code Security插件（JetBrains 官方出品，非 GitHub 的 Code Scanning）：它会在编辑器中高亮已知危险 API 调用，如Runtime.getRuntime().exec()、new URL(...).openConnection()，但不会做数据流分析； - 启用
ESLint并配置eslint-plugin-security：需项目本地安装，WebStorm 仅作前端展示；Alt+Enter在匹配行才可能给出修复建议（如替换eval为JSON.parse）； - 对 Java 项目，可接入
FindBugs-IDEA插件（注意：FindBugs 已停止维护，推荐改用SpotBugs），它能识别部分安全模式，如HardCodedCryptoKey； - 避免使用来源不明的“Security Scanner”类插件——2025 年后多个 CSDN 博客推广的所谓“一键检测 XSS”插件已被证实存在权限滥用和遥测上报行为。
为什么 Inspect Code 扫不出真实安全问题
根本原因在于扫描范围与分析深度限制：
- WebStorm 的
Inspect Code是语法树级（AST）检查，不进行跨文件控制流/数据流跟踪，无法判断一个用户输入是否未经校验就流到了response.getWriter().print()； - 它不解析框架语义：Spring 的
@PathVariable和 MyBatis 的${}vs#{}差异，IDE 默认不建模； - 即使启用全部 JavaScript inspections，
innerHTML = user.input也只标为 “Potential XSS”，且不提供自动转义建议； - 扫描结果不生成 CWE/SARIF 标准报告，无法对接 CI/CD 安全门禁。
想让 WebStorm 显示安全风险，唯一可靠方式是把它当作 ESLint / SonarLint / Semgrep 的显示终端，而不是扫描发起端。
真正该做的：把 WebStorm 当成安全工具链的“看板”
不要试图用快捷键启动一次“安全扫描”，而是让 WebStorm 实时反映外部工具的结果：
- 在
Settings | Languages & Frameworks | JavaScript | Code Quality Tools | ESLint中启用自动修复，并勾选Run for files on save； - 用
Ctrl+Shift+A搜索 “SonarLint”，安装后绑定 SonarQube 服务器，关键安全问题（如CWE-79）会直接在编辑器中标红； - 在 Terminal 中运行
npx semgrep --config p/security-audit，然后用Tools | Terminal面板查看输出，WebStorm 会自动将路径点击跳转到对应行； - 记住：
Alt+Enter在安全上下文中几乎从不出现“Fix security issue”选项——它只在 ESLint/SonarLint 已标记且规则支持 quick-fix 时才生效，且多数安全规则（如密码明文）不提供自动修复。
最常被忽略的一点：WebStorm 的滚动条颜色标记（红/黄）永远只反映 IDE 自身检查结果，和你装的任何安全插件无关。要确认某条警告是否来自安全插件，必须悬停看提示末尾的来源标识，比如 “(eslint-plugin-security)” 或 “(SonarJS)”。
