Claude Code 現在包含自動化安全審查功能，幫助您識別和修復程式碼中的漏洞。本指南說明如何使用 /security-review 命令和 GitHub Actions 來改進您的程式碼安全性。
注意：雖然自動化安全審查有助於識別許多常見漏洞，但應補充而非取代您現有的安全實踐和手動程式碼審查。
概述
Claude Code 中的自動化安全審查幫助開發人員在漏洞進入生產環境前捕捉它們。這些功能檢查常見的安全問題，包括 SQL 注入風險、跨網站指令碼 (XSS) 漏洞、身份驗證缺陷、不安全的資料處理和相依性漏洞。
您可以透過兩種方式使用安全審查：在 Claude Code 工作階段中透過 /security-review 命令進行隨需檢查，或透過 GitHub Actions 自動審查提取請求。
可用性
這些功能適用於所有 Claude Code 使用者，包括：
使用個人付費方案 (Pro 或 Max) 的使用者。
具有隨用隨付 API 主控台帳戶的個人使用者或企業。
使用 /security-review 命令
/security-review 命令可讓您在提交程式碼前直接從 Claude Code 執行安全分析。
執行安全審查
若要檢查您的程式碼是否有漏洞：
在您的專案中開啟 Claude Code 工作階段，在 Claude Desktop 的「程式碼」標籤中，或在終端機中的專案目錄中執行
claude。執行
/security-review。Claude 將分析您的程式碼庫並識別潛在的安全問題。
檢查為找到的每個問題提供的詳細說明。
實施修復
Claude 識別漏洞後，您可以要求它直接實施修復。這使安全審查整合到您的開發工作流程中，讓您在最容易解決問題時解決它們。
自訂命令
您可以根據特定需求自訂 /security-review 命令。請參閱安全審查文件以了解設定選項。
設定 GitHub Actions 以進行自動化 PR 審查
安裝並設定 GitHub 動作後，它將在開啟提取請求時自動審查每個提取請求是否存在安全漏洞。
安裝
若要為您的儲存庫設定自動化安全審查：
瀏覽至您的儲存庫的 GitHub Actions 設定
按照我們文件中的逐步安裝指南進行操作
根據您的團隊安全要求設定動作
運作方式
設定後，GitHub 動作將：
在開啟新提取請求時自動觸發。
審查程式碼變更是否存在安全漏洞。
應用可自訂的篩選規則以減少誤報。
在 PR 上發佈內嵌註解，說明已識別的問題和建議的修復。
這在整個團隊中建立了一致的安全審查流程，確保在合併前檢查程式碼是否存在漏洞。
自訂選項
您可以自訂 GitHub 動作以符合您的團隊安全政策，包括為您的程式碼庫設定特定規則和調整不同漏洞類型的敏感度等級。
可以偵測哪些安全問題？
/security-review 命令和 GitHub 動作都檢查常見的漏洞模式：
SQL 注入風險：識別潛在的資料庫查詢漏洞。
跨網站指令碼 (XSS)：偵測用戶端指令碼注入漏洞。
身份驗證和授權缺陷：尋找存取控制問題。
不安全的資料處理：識別資料驗證和清理的問題。
相依性漏洞：檢查第三方套件中的已知問題。
開始使用
若要開始使用自動化安全審查：
對於
/security-review命令：將 Claude Code 更新至最新版本 (執行)，然後在您的專案目錄中執行/security-review。Claude Code 會自動保持最新狀態以確保您擁有最新功能和安全修復，但您也可以執行
claude update手動更新。
對於 GitHub 動作：請造訪我們的文件以取得安裝和設定說明。
最佳實踐
為了獲得最佳結果，我們建議在提交重大變更前執行 /security-review，並為所有包含生產程式碼的儲存庫設定 GitHub 動作。考慮根據您的團隊特定安全要求和程式碼庫特性調整篩選規則。