启用安全加固模式可让通义灵码在代码生成阶段主动规避SQL注入等高危漏洞，需开启「生成时主动规避已知漏洞模式」并重启IDE；支持提示词注入约束、绑定规则库、输出审计注释；提供扫描与一键修复功能，并可外挂MCP Server进行深度漏洞验证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你想在代码生成阶段就避开SQL注入、硬编码密钥、不安全反序列化等高危漏洞，而不是等渗透测试或线上告警才紧急补救。
启用安全加固模式
打开通义灵码设置面板 → 找到【安全策略】→ 开启「生成时主动规避已知漏洞模式」开关。该模式默认关闭，不开则灵码仅做基础语法补全，不会注入防御逻辑。
开启后，所有自然语言生成的代码都会自动插入校验、转义、白名单过滤等防护层。例如你输入“拼接SQL查询用户”，生成结果会强制使用PreparedStatement占位符而非字符串+拼接，且对参数做非空和长度截断处理。
【必须重启IDE才能生效】配置修改后不重启，旧会话仍按无加固模式运行，生成代码不带任何安全增强。
用自然语言注入安全约束
方法一：在提示词中明确指定风险点
输入：“生成一个读取配置文件的Java方法，禁止硬编码路径，必须从Spring Environment获取，且文件名需通过FilenameUtils.normalize校验，防止../目录穿越”
方法二：绑定企业自定义规则库
在提示词开头加前缀：@security-rule=OWASP-CRITICAL-2025，灵码将严格比对该规则集中47条高危项，漏一条就拒绝生成。
方法三：要求输出带安全审计注释
追加指令：“每处可能触发漏洞的位置，用// SECURITY: [类型] 标注，例如 // SECURITY: XSS_OUTPUT_ESCAPE_REQUIRED”
扫描已有代码中的安全隐患
第一步：右键点击项目根目录 → 选择「通义灵码 → AI程序员 → 扫描安全风险」
通义灵码 Linux版是阿里云推出的一款AI智能编码助手，专为Linux开发者设计。它支持在Linux操作系统下的JetBrains IDEs、Visual Studio Code等主流集成开发环境中运行。该工具基于通义大模型，提供代码智能生成、实时续写、单元测试生成、代码优化以及研发智能问答等功能，旨在帮助Linux用户在编码过程中提升效率。
第二步：在弹出框中输入指令：
“扫描全部Java文件，找出所有满足以下任一条件的位置：① String.format直接拼接数据库SQL；② new FileInputStream传入request.getParameter；③ ObjectInputStream.readObject未包裹try-catch且无resolveClass重写”
第三步：等待索引完成（首次约45秒）→ 灵码列出精确到行号的风险点，并高亮危险参数来源，如String sql = "SELECT * FROM user WHERE id=" + id;中的id变量。
第四步：点击任意一条结果 → 自动跳转至对应代码行 → 点击【应用修复】按钮，生成带PreparedStatement、白名单校验、SecurityManager检查的替代代码。
【修复前务必提交当前分支】一键修复会重写整段逻辑，若未提交，Git无法回退到原始状态。
外挂MCP Server做深度漏洞验证
登录阿里云灵码控制台 → 进入「安全中心」→ 绑定已部署的Security MCP Server实例（支持私有化部署）。
在IDE中选中待检方法 → 右键 → 「通义灵码 → 外挂扫描」→ 勾选「启用MCP深度验证」→ 点击执行。
灵码将把AST解析树与上下文快照发送至MCP Server，后者调用动态污点追踪引擎，模拟真实攻击链路。例如检测到Runtime.getRuntime().exec(cmd)，不仅标出调用点，还会反向追踪cmd是否来自request.getParameter("cmd")，并判断中间是否经过正则过滤。
扫描完成后，直接在IDE内显示报告：绿色为已覆盖防护点，红色为未拦截的0day级逃逸路径，附带修复建议代码块。
