Claude Code ora include funzionalità di revisione della sicurezza automatizzate per aiutarti a identificare e correggere le vulnerabilità nel tuo codice. Questa guida spiega come utilizzare il comando /security-review e GitHub Actions per migliorare la sicurezza del tuo codice.

Nota: Sebbene le revisioni della sicurezza automatizzate aiutino a identificare molte vulnerabilità comuni, dovrebbero integrare, non sostituire, le tue pratiche di sicurezza esistenti e le revisioni manuali del codice.

Panoramica

Le revisioni della sicurezza automatizzate in Claude Code aiutano gli sviluppatori a individuare le vulnerabilità prima che raggiungano la produzione. Queste funzionalità controllano i problemi di sicurezza comuni, inclusi i rischi di SQL injection, le vulnerabilità di cross-site scripting (XSS), i difetti di autenticazione, la gestione insicura dei dati e le vulnerabilità delle dipendenze.

Puoi utilizzare le revisioni della sicurezza in due modi: tramite il comando /security-review per i controlli su richiesta nel tuo terminale, oppure tramite GitHub Actions per la revisione automatica delle pull request.

Disponibilità

Queste funzionalità sono disponibili per tutti gli utenti di Claude Code, inclusi:

Utenti con piani a pagamento individuali (Pro o Max).
Utenti individuali o aziende con account API Console con pagamento in base al consumo.

Utilizzo del comando /security-review

Il comando /security-review ti consente di eseguire l'analisi della sicurezza direttamente dal tuo terminale prima di eseguire il commit del codice.

Esecuzione di una Revisione della Sicurezza

Per controllare il tuo codice alla ricerca di vulnerabilità:

Apri Claude Code nella directory del tuo progetto.
Esegui /security-review nel terminale.
Claude analizzerà la tua base di codice e identificherà i potenziali problemi di sicurezza.
Rivedi le spiegazioni dettagliate fornite per ogni problema trovato.

Implementazione delle Correzioni

Dopo che Claude ha identificato le vulnerabilità, puoi chiedergli di implementare le correzioni direttamente. Questo mantiene le revisioni della sicurezza integrate nel tuo flusso di lavoro di sviluppo, permettendoti di affrontare i problemi quando è più facile risolverli.

Personalizzazione del Comando

Puoi personalizzare il comando /security-review in base alle tue esigenze specifiche. Consulta la documentazione sulla revisione della sicurezza per le opzioni di configurazione.

Configurazione di GitHub Actions per le revisioni automatizzate delle PR

Dopo aver installato e configurato l'azione GitHub, essa esaminerà automaticamente ogni pull request alla ricerca di vulnerabilità di sicurezza quando viene aperta.

Installazione

Per configurare le revisioni della sicurezza automatizzate per il tuo repository:

Accedi alle impostazioni di GitHub Actions del tuo repository
Segui la guida di installazione passo dopo passo nella nostra documentazione
Configura l'azione in base ai requisiti di sicurezza del tuo team

Come Funziona

Una volta configurata, l'azione GitHub:

Si attiva automaticamente quando vengono aperte nuove pull request.
Esamina le modifiche al codice alla ricerca di vulnerabilità di sicurezza.
Applica regole di filtro personalizzabili per ridurre i falsi positivi.
Pubblica commenti inline sulla PR con i problemi identificati e le correzioni consigliate.

Questo crea un processo di revisione della sicurezza coerente in tutto il tuo team, garantendo che il codice sia controllato per le vulnerabilità prima dell'unione.

Opzioni di Personalizzazione

Puoi personalizzare l'azione GitHub per adattarla alle politiche di sicurezza del tuo team, inclusa l'impostazione di regole specifiche per la tua base di codice e l'adeguamento dei livelli di sensibilità per diversi tipi di vulnerabilità.

Quali problemi di sicurezza possono essere rilevati?

Sia il comando /security-review che l'azione GitHub controllano i modelli di vulnerabilità comuni:

Rischi di SQL injection: Identifica le potenziali vulnerabilità delle query del database.
Cross-site scripting (XSS): Rileva le vulnerabilità di iniezione di script lato client.
Difetti di autenticazione e autorizzazione: Trova i problemi con il controllo degli accessi.
Gestione insicura dei dati: Identifica i problemi con la convalida e la sanitizzazione dei dati.
Vulnerabilità delle dipendenze: Controlla i problemi noti nei pacchetti di terze parti.

Iniziare

Per iniziare a utilizzare le revisioni della sicurezza automatizzate:

Per il comando /security-review: Aggiorna Claude Code all'ultima versione (esegui), quindi esegui /security-review nella directory del tuo progetto.
- Claude Code si aggiorna automaticamente per assicurarti di avere le funzionalità e le correzioni di sicurezza più recenti, ma puoi anche eseguire claude update per aggiornare manualmente.
Per le azioni GitHub: Visita la nostra documentazione per le istruzioni di installazione e configurazione.

Migliori Pratiche

Per risultati ottimali, ti consigliamo di esegu

Revisioni di Sicurezza Automatizzate in Claude Code