Claude Code теперь включает функции автоматизированной проверки безопасности, которые помогают выявлять и исправлять уязвимости в коде. Это руководство объясняет, как использовать команду /security-review и GitHub Actions для повышения безопасности кода.
Примечание: Хотя автоматизированные проверки безопасности помогают выявить множество распространённых уязвимостей, они должны дополнять, а не заменять существующие практики безопасности и ручные проверки кода.
Обзор
Автоматизированные проверки безопасности в Claude Code помогают разработчикам выявлять уязвимости до того, как они попадут в производство. Эти функции проверяют наличие распространённых проблем безопасности, включая риски SQL-инъекций, уязвимости межсайтового скриптинга (XSS), ошибки аутентификации, небезопасную обработку данных и уязвимости зависимостей.
Вы можете использовать проверки безопасности двумя способами: через команду /security-review для проверок по требованию в терминале или через GitHub Actions для автоматической проверки запросов на слияние.
Доступность
Эти функции доступны для всех пользователей Claude Code, включая:
Пользователей с индивидуальными платными планами (Pro или Max).
Отдельных пользователей или предприятий с учётными записями API Console с оплатой по мере использования.
Использование команды /security-review
Команда /security-review позволяет запустить анализ безопасности непосредственно из терминала перед фиксацией кода.
Запуск проверки безопасности
Чтобы проверить код на наличие уязвимостей:
Откройте Claude Code в каталоге вашего проекта.
Запустите /security-review в терминале.
Claude проанализирует вашу кодовую базу и выявит потенциальные проблемы безопасности.
Ознакомьтесь с подробными объяснениями для каждой найденной проблемы.
Реализация исправлений
После того как Claude выявит уязвимости, вы можете попросить его реализовать исправления напрямую. Это позволяет интегрировать проверки безопасности в ваш рабочий процесс разработки, позволяя вам решать проблемы, когда их легче всего исправить.
Настройка команды
Вы можете настроить команду /security-review в соответствии с вашими конкретными потребностями. См. документацию по проверке безопасности для получения параметров конфигурации.
Настройка GitHub Actions для автоматизированных проверок PR
После установки и настройки действия GitHub оно будет автоматически проверять каждый запрос на слияние на наличие уязвимостей безопасности при его открытии.
Установка
Чтобы настроить автоматизированные проверки безопасности для вашего репозитория:
Перейдите в параметры GitHub Actions вашего репозитория
Следуйте пошаговому руководству по установке в нашей документации
Настройте действие в соответствии с требованиями безопасности вашей команды
Как это работает
После настройки действие GitHub:
Срабатывает автоматически при открытии новых запросов на слияние.
Проверяет изменения кода на наличие уязвимостей безопасности.
Применяет настраиваемые правила фильтрации для снижения количества ложных срабатываний.
Публикует встроенные комментарии в PR с выявленными проблемами и рекомендуемыми исправлениями.
Это создаёт согласованный процесс проверки безопасности во всей вашей команде, обеспечивая проверку кода на наличие уязвимостей перед слиянием.
Параметры настройки
Вы можете настроить действие GitHub в соответствии с политиками безопасности вашей команды, включая установку определённых правил для вашей кодовой базы и регулировку уровней чувствительности для различных типов уязвимостей.
Какие проблемы безопасности можно обнаружить?
Как команда /security-review, так и действие GitHub проверяют наличие распространённых шаблонов уязвимостей:
Риски SQL-инъекций: Выявляет потенциальные уязвимости запросов к базе данных.
Межсайтовый скриптинг (XSS): Обнаруживает уязвимости внедрения клиентских скриптов.
Ошибки аутентификации и авторизации: Находит проблемы с контролем доступа.
Небезопасная обработка данных: Выявляет проблемы с валидацией и санитизацией данных.
Уязвимости зависимостей: Проверяет наличие известных проблем в сторонних пакетах.
Начало работы
Чтобы начать использовать автоматизированные проверки безопасности:
Для команды /security-review