sast — плагин Claude Code (SAST)

Самодостаточный плагин Claude Code (sast), который привносит SAST непосредственно в Claude Code через навыки слэш-команд, субагентов и хуки жизненного цикла.

Структура плагина

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Манифест плагина (name: "sast")
│   ├── marketplace.json             # Манифест маркетплейса (name: "sast")
│   └── icon.png                     # Квадратная иконка плагина PNG 1024x1024
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Полное сканирование SAST + taint + secrets + IaC + SCA
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Быстрое инкрементальное сканирование изменённых в git файлов
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Обнаружение секретов + проверка ключей в реальном времени + история git
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — CVE зависимостей (OSV), dependency confusion, CMS, лицензии
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Модель угроз, проверка FP-гейта и триаж эксплуатируемости
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Диффы автоисправлений и проверка после патча
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) контроль секретов и опциональное сканирование одного файла
├── scripts/
│   ├── sast_runner.py               # Встроенный самодостаточный SAST-раннер и форматтер сводок для Claude
│   └── post_edit_check.py           # Быстрый обработчик хука PostToolUse
└── README.md

Быстрый старт

Установка из GitHub Marketplace (рекомендуется)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

Или внутри интерактивной сессии Claude Code:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Локальная проверка плагина

claude plugin validate .

Слэш-команды (навыки)

Команда	Описание
/sast:scan [path]	Полное сканирование SAST + AST/taint (16+ языков) + secrets + IaC + SCA
/sast:diff [path]	Быстрое инкрементальное SAST-сканирование изменённых, проиндексированных и неотслеживаемых файлов git (--changed)
/sast:secrets [path]	Сканирование рабочего дерева и --git-history на наличие жёстко закодированных учётных данных с проверкой ключей провайдеров в реальном времени
/sast:sca [path]	Аудит зависимостей (CVE OSV), dependency confusion, встроенных JS-библиотек, плагинов CMS и --licenses
/sast:triage [path]	Построение STRIDE --threat-model и триаж находок по гейту «только реальные, 0 FP»
/sast:fix [path]	Устранение уязвимостей (--remediation) и повторная проверка с --changed

Субагенты

• @agent-sast:security-auditor — Запускает встроенный SAST-сканер, отслеживает потоки данных от источника к стоку в исходных файлах и формирует приоритизированные отчёты об уязвимостях.
• @agent-sast:remediation-engineer — Создаёт минимальные патчи безопасности и повторно запускает сканер для проверки каждого исправления.

Параметры плагина (userConfig)

Настраиваются через диалог конфигурации плагина Claude Code (/plugin → Configure options):

• scan_on_edit (boolean, по умолчанию false) — Включает автоматическое SAST-сканирование одного файла внутри хука PostToolUse (Write|Edit).
• provider_api_key (string, sensitive: true, необязательно) — Необязательный API-ключ, хранящийся в защищённом хранилище учётных данных Claude Code, для автономных диффов AI-триажа/исправлений.