Claude Code enthält jetzt automatisierte Sicherheitsüberprüfungsfunktionen, um Ihnen dabei zu helfen, Sicherheitslücken in Ihrem Code zu identifizieren und zu beheben. Diese Anleitung erklärt, wie Sie den Befehl /security-review und GitHub Actions verwenden, um die Sicherheit Ihres Codes zu verbessern.
Hinweis: Obwohl automatisierte Sicherheitsüberprüfungen viele häufige Sicherheitslücken identifizieren helfen, sollten sie Ihre bestehenden Sicherheitspraktiken und manuellen Code-Reviews ergänzen, nicht ersetzen.
Übersicht
Automatisierte Sicherheitsüberprüfungen in Claude Code helfen Entwicklern, Sicherheitslücken zu erkennen, bevor sie in die Produktion gelangen. Diese Funktionen prüfen auf häufige Sicherheitsprobleme, einschließlich SQL-Injection-Risiken, Cross-Site-Scripting (XSS)-Sicherheitslücken, Authentifizierungsfehler, unsichere Datenbehandlung und Abhängigkeitssicherheitslücken.
Sie können Sicherheitsüberprüfungen auf zwei Arten verwenden: über den Befehl /security-review für bedarfsgesteuerte Überprüfungen in einer Claude Code-Sitzung oder über GitHub Actions für automatische Überprüfung von Pull Requests.
Verfügbarkeit
Diese Funktionen sind für alle Claude Code-Benutzer verfügbar, einschließlich:
Benutzer mit individuellen bezahlten Plänen (Pro oder Max).
Einzelne Benutzer oder Unternehmen mit Pay-as-you-go API Console-Konten.
Verwenden Sie den Befehl /security-review
Der Befehl /security-review ermöglicht es Ihnen, die Sicherheitsanalyse direkt aus Claude Code auszuführen, bevor Sie Code committen.
Führen Sie eine Sicherheitsüberprüfung durch
Um Ihren Code auf Sicherheitslücken zu überprüfen:
Öffnen Sie eine Claude Code-Sitzung in Ihrem Projekt, auf der Registerkarte "Code" von Claude Desktop oder durch Ausführung von
claudein Ihrem Projektverzeichnis im Terminal.Führen Sie
/security-reviewaus.Claude analysiert Ihre Codebasis und identifiziert potenzielle Sicherheitsbedenken.
Überprüfen Sie die detaillierten Erklärungen für jedes gefundene Problem.
Beheben Sie die Probleme
Nachdem Claude Sicherheitslücken identifiziert hat, können Sie es bitten, Fixes direkt zu implementieren. Dies hält Sicherheitsüberprüfungen in Ihren Entwicklungsworkflow integriert, sodass Sie Probleme beheben können, wenn sie am einfachsten zu lösen sind.
Passen Sie den Befehl an
Sie können den Befehl /security-review für Ihre spezifischen Anforderungen anpassen. Weitere Informationen finden Sie in der Dokumentation zur Sicherheitsüberprüfung für Konfigurationsoptionen.
Richten Sie GitHub Actions für automatisierte PR-Überprüfungen ein
Nach der Installation und Konfiguration der GitHub Action überprüft sie automatisch jeden Pull Request auf Sicherheitslücken, wenn er geöffnet wird.
Installation
Um automatisierte Sicherheitsüberprüfungen für Ihr Repository einzurichten:
Navigieren Sie zu den GitHub Actions-Einstellungen Ihres Repositorys
Folgen Sie der Schritt-für-Schritt-Installationsanleitung in unserer Dokumentation
Konfigurieren Sie die Action gemäß den Sicherheitsanforderungen Ihres Teams
Funktionsweise
Nach der Konfiguration führt die GitHub Action folgende Schritte aus:
Wird automatisch ausgelöst, wenn neue Pull Requests geöffnet werden.
Überprüft Code-Änderungen auf Sicherheitslücken.
Wendet anpassbare Filterregeln an, um falsch positive Ergebnisse zu reduzieren.
Postet Inline-Kommentare zum PR mit identifizierten Bedenken und empfohlenen Fixes.
Dies schafft einen konsistenten Sicherheitsüberprüfungsprozess in Ihrem gesamten Team und stellt sicher, dass Code vor dem Zusammenführen auf Sicherheitslücken überprüft wird.
Anpassungsoptionen
Sie können die GitHub Action anpassen, um den Sicherheitsrichtlinien Ihres Teams zu entsprechen, einschließlich der Festlegung spezifischer Regeln für Ihre Codebasis und der Anpassung der Empfindlichkeitsstufen für verschiedene Sicherheitslückentypen.
Welche Sicherheitsprobleme können erkannt werden?
Sowohl der Befehl /security-review als auch die GitHub Action prüfen auf häufige Sicherheitslückenmuster:
SQL-Injection-Risiken: Identifiziert potenzielle Datenbankabfrage-Sicherheitslücken.
Cross-Site-Scripting (XSS): Erkennt Client-seitige Script-Injection-Sicherheitslücken.
Authentifizierungs- und Autorisierungsfehler: Findet Probleme mit der Zugriffskontrolle.
Unsichere Datenbehandlung: Identifiziert Probleme mit Datenvalidierung und Bereinigung.
Abhängigkeitssicherheitslücken: Prüft auf bekannte Probleme in Drittanbieterpaketen.
Erste Schritte
Um automatisierte Sicherheitsüberprüfungen zu verwenden:
Für den Befehl
/security-review: Aktualisieren Sie Claude Code auf die neueste Version (ausführen), führen Sie dann/security-reviewin Ihrem Projektverzeichnis aus.Claude Code aktualisiert sich automatisch, um sicherzustellen, dass Sie die neuesten Funktionen und Sicherheitspatches haben, aber Sie können auch
claude updateausführen, um manuell zu aktualisieren.
Für die GitHub Actions: Besuchen Sie unsere Dokumentation für Installations- und Konfigurationsanweisungen.
Best Practices
Für optimale Ergebnisse empfehlen wir, /security-review vor dem Committen erheblicher Änderungen auszuführen und die GitHub Action für alle Repositorys mit Produktionscode zu konfigurieren. Erwägen Sie, die Filterregeln basierend auf den spezifischen Sicherheitsanforderungen und Codebase-Merkmalen Ihres Teams anzupassen.