sast — Claude Code Plugin (SAST)

Ein eigenständiges Claude Code Plugin (sast), das SAST direkt in Claude Code über Slash-Command-Skills, Subagenten und Lifecycle-Hooks integriert.

Plugin-Struktur

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Plugin-Manifest (name: "sast")
│   ├── marketplace.json             # Marketplace-Manifest (name: "sast")
│   └── icon.png                     # 1024x1024 quadratisches PNG-Plugin-Icon
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Vollständiger SAST + Taint + Secrets + IaC + SCA Scan
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Schneller inkrementeller Scan auf git-geänderten Dateien
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Secret-Erkennung + Live-Key-Validierung + git-Historie
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — Dependency-CVEs (OSV), Dep Confusion, CMS, Lizenzen
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Threat Model, FP-Gate-Prüfung & Exploitability-Triage
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Auto-Remediation-Diffs & Post-Patch-Verifikation
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) Secret-Tripwire & optionaler Single-File-Scan
├── scripts/
│   ├── sast_runner.py               # Mitgelieferter eigenständiger SAST-Runner & Claude-Summary-Formatter
│   └── post_edit_check.py           # Schneller PostToolUse-Hook-Handler
└── README.md

Schnellstart

Installation aus dem GitHub Marketplace (Empfohlen)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

Oder innerhalb einer interaktiven Claude Code-Sitzung:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Plugin lokal validieren

claude plugin validate .

Slash-Commands (Skills)

Befehl	Beschreibung
/sast:scan [path]	Vollständiger SAST + AST/Taint (16+ Sprachen) + Secrets + IaC + SCA Scan
/sast:diff [path]	Schneller inkrementeller SAST-Scan von git-geänderten, gestagten und nicht verfolgten Dateien (--changed)
/sast:secrets [path]	Scannt den Arbeitsbaum und --git-history nach hartkodierten Zugangsdaten mit Live-Provider-Key-Validierung
/sast:sca [path]	Prüft Abhängigkeiten (OSV-CVEs), Dependency Confusion, gebündelte JS-Bibliotheken, CMS-Plugins und --licenses
/sast:triage [path]	Erstellt STRIDE --threat-model und triagiert Befunde gegen das 0-FP-Real-Only-Gate
/sast:fix [path]	Behebt Schwachstellen (--remediation) und verifiziert erneut mit --changed

Subagenten

• @agent-sast:security-auditor — Führt den mitgelieferten SAST-Scanner aus, verfolgt Source-to-Sink-Datenflüsse in Quelldateien und erstellt priorisierte Schwachstellenberichte.
• @agent-sast:remediation-engineer — Erstellt minimale Sicherheits-Patches und führt den Scanner erneut aus, um jede Behebung zu verifizieren.

Plugin-Optionen (userConfig)

Konfiguriert über den Plugin-Konfigurationsdialog von Claude Code (/plugin → Configure options):

• scan_on_edit (boolean, Standard false) — Aktiviert automatisches Single-File-SAST-Scanning innerhalb des PostToolUse (Write|Edit) Hooks.
• provider_api_key (string, sensitive: true, optional) — Optionaler API-Key, gespeichert im sicheren Credential-Speicher von Claude Code für eigenständige KI-Triage/Remediation-Diffs.