Revisioni di sicurezza automatizzate in Claude Code

Claude Code ora include funzioni di revisione della sicurezza automatizzate per aiutarti a identificare e correggere le vulnerabilità nel tuo codice. Questa guida spiega come utilizzare il comando /security-review e GitHub Actions per migliorare la sicurezza del tuo codice.

Nota: Sebbene le revisioni di sicurezza automatizzate aiutino a identificare molte vulnerabilità comuni, dovrebbero integrare, non sostituire, le tue pratiche di sicurezza esistenti e le revisioni manuali del codice.

Panoramica

Le revisioni di sicurezza automatizzate in Claude Code aiutano gli sviluppatori a rilevare le vulnerabilità prima che raggiungano la produzione. Queste funzioni controllano i problemi di sicurezza comuni, inclusi i rischi di SQL injection, le vulnerabilità di cross-site scripting (XSS), i difetti di autenticazione, la gestione insicura dei dati e le vulnerabilità delle dipendenze.

Puoi utilizzare le revisioni di sicurezza in due modi: tramite il comando /security-review per i controlli su richiesta in una sessione di Claude Code, oppure tramite GitHub Actions per la revisione automatica delle pull request.

Disponibilità

Queste funzioni sono disponibili per tutti gli utenti di Claude Code, inclusi:

Utenti con piani a pagamento individuali (Pro o Max).
Utenti individuali o aziende con account API Console con pagamento in base al consumo.

Utilizza il comando /security-review

Il comando /security-review ti consente di eseguire l'analisi della sicurezza direttamente da Claude Code prima di eseguire il commit del codice.

Esegui una revisione di sicurezza

Per verificare il tuo codice alla ricerca di vulnerabilità:

Apri una sessione di Claude Code nel tuo progetto, nella scheda "Code" di Claude Desktop o eseguendo claude nella directory del tuo progetto nel terminale.
Esegui /security-review.
Claude analizzerà la tua base di codice e identificherà i potenziali problemi di sicurezza.
Esamina le spiegazioni dettagliate fornite per ogni problema trovato.

Implementa le correzioni

Dopo che Claude identifica le vulnerabilità, puoi chiedergli di implementare le correzioni direttamente. Questo mantiene le revisioni di sicurezza integrate nel tuo flusso di lavoro di sviluppo, permettendoti di affrontare i problemi quando è più facile risolverli.

Personalizza il comando

Puoi personalizzare il comando /security-review per le tue esigenze specifiche. Consulta la documentazione sulla revisione della sicurezza per le opzioni di configurazione.

Configura GitHub Actions per le revisioni automatizzate delle PR

Dopo aver installato e configurato l'azione GitHub, essa esaminerà automaticamente ogni pull request alla ricerca di vulnerabilità di sicurezza quando viene aperta.

Installazione

Per configurare le revisioni di sicurezza automatizzate per il tuo repository:

Accedi alle impostazioni di GitHub Actions del tuo repository
Segui la guida di installazione passo dopo passo nella nostra documentazione
Configura l'azione in base ai requisiti di sicurezza del tuo team

Come funziona

Una volta configurata, l'azione GitHub:

Si attiva automaticamente quando vengono aperte nuove pull request.
Esamina le modifiche al codice alla ricerca di vulnerabilità di sicurezza.
Applica regole di filtro personalizzabili per ridurre i falsi positivi.
Pubblica commenti in linea sulla PR con i problemi identificati e le correzioni consigliate.

Questo crea un processo di revisione della sicurezza coerente in tutto il tuo team, assicurando che il codice sia controllato per le vulnerabilità prima dell'unione.

Opzioni di personalizzazione

Puoi personalizzare l'azione GitHub per adattarla alle politiche di sicurezza del tuo team, inclusa l'impostazione di regole specifiche per la tua base di codice e l'adeguamento dei livelli di sensibilità per diversi tipi di vulnerabilità.

Quali problemi di sicurezza possono essere rilevati?

Sia il comando /security-review che l'azione GitHub controllano i modelli di vulnerabilità comuni:

Rischi di SQL injection: Identifica le potenziali vulnerabilità delle query del database.
Cross-site scripting (XSS): Rileva le vulnerabilità di iniezione di script lato client.
Difetti di autenticazione e autorizzazione: Trova i problemi con il controllo degli accessi.
Gestione insicura dei dati: Identifica i problemi con la convalida e la sanitizzazione dei dati.
Vulnerabilità delle dipendenze: Controlla i problemi noti nei pacchetti di terze parti.

Inizia

Per iniziare a utilizzare le revisioni di sicurezza automatizzate:

Per il comando /security-review: Aggiorna Claude Code all'ultima versione (esegui), quindi esegui /security-review nella directory del tuo progetto.
- Claude Code si aggiorna automaticamente per assicurarti di avere le funzioni e le correzioni di sicurezza più recenti, ma puoi anche eseguire claude update per aggiornare manualmente.
Per le azioni GitHub: Visita la nostra documentazione per le istruzioni di installazione e configurazione.

Migliori pratiche

Per risultati ottimali, ti consigliamo di eseguire /security-review prima di eseguire il commit di modifiche significative e di configurare l'azione GitHub per tutti i repository contenenti codice di produzione. Considera di adeguare le regole di filtro in base ai requisiti di sicurezza specifici del tuo team e alle caratteristiche della tua base di codice.