必须人工检查AionClaw生成的代码：先启用CodeAudit技能并重启主进程以获取自检报告；再重点审查异常处理、资源释放和输入校验三类高危模式；接着用TaoToken调用Sonar模型做静态分析；最后本地复现边界场景验证健壮性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
用 AionClaw 生成代码后，不能直接扔进生产环境跑，必须人工介入检查逻辑漏洞、参数校验缺失、异常未捕获、资源未释放等隐性风险，否则上线后可能在特定并发或边界条件下触发线上故障。
第一步：启用 AionClaw 内置的「代码自检 Skill」
打开 AionClaw 设置页 →「技能管理」→ 找到「CodeAudit」技能 → 开启并保存。该技能会在每次生成代码后自动追加一段结构化自检报告，含漏洞类型、风险等级、触发位置行号。注意：【必须重启 AionClaw 主进程才能生效】，仅刷新界面无效。
这一步操作起来很简单，直接勾选保存就行。但如果你跳过重启，后续所有自检报告都会为空——因为 Skill 的 hook 是在主进程初始化阶段注册的。
第二步：人工聚焦三类高危代码模式
不管自检报告是否报错，都必须手动逐行扫以下三处：
① 所有带 try 但没配 catch 或 finally 的代码块——AionClaw 常省略异常兜底，导致 IO 中断、网络超时、空指针直接崩掉调用链。
② 所有涉及文件读写、数据库连接、HTTP 请求的资源操作——检查是否显式调用了 close()、disconnect()、cancel()；若用 with/as 语法，确认缩进是否正确包裹全部操作语句。
③ 所有从用户输入、API 参数、配置文件读取的变量——检查是否做了非空、类型、范围、长度四重校验，尤其警惕直接拼接 SQL 或 Shell 命令的字符串。
第三步：用 TaoToken 通道重跑静态分析
方法一：在 AionClaw 中新建会话 → 输入指令：“对以下代码做 SonarQube 风格扫描，输出漏洞编号、CWE 分类、修复建议” → 粘贴待检代码 → 发送。
方法二：复制代码 → 打开 TaoToken 控制台（https://taotoken.net/?）→ 进入「模型广场」→ 选择 sonar-cpp 或 sonar-java 模型 → 粘贴代码 → 提交。该方式绕过 AionClaw 的 prompt 截断限制，能处理超过 3000 行的长文件。
注意：【不要用默认的 gpt-4-turbo 模型做代码审计】，它缺乏 CWE 编号映射能力和规则引擎上下文，容易把高危反序列化漏洞标为“低风险格式问题”。
第四步：本地复现边界场景
步骤一：提取代码中所有函数 → 用 Python / Node.js 写最小测试桩，覆盖 null、NaN、负数、超长字符串、空数组五种输入。
步骤二：对涉及时间、随机数、并发的函数，强制注入延迟（如 sleep(2000)）和竞争条件（如双线程同时调用同一资源锁）。
步骤三：运行测试桩 → 观察是否出现未定义行为、内存泄漏、状态不一致。只要任一场景崩溃或返回异常值，整段代码必须返工，不能靠“线上加 try-catch”掩盖。
