sast — Claude Code 插件（SAST）

一个自包含的 Claude Code 插件（sast），通过斜杠命令技能、子代理和生命周期钩子，将 SAST 直接引入 Claude Code。

插件结构

sast/
├── .claude-plugin/
│   ├── plugin.json                  # 插件清单（名称："sast"）
│   ├── marketplace.json             # 市场清单（名称："sast"）
│   └── icon.png                     # 1024x1024 方形 PNG 插件图标
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — 完整 SAST + 污点分析 + 密钥 + IaC + SCA 扫描
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — 对 git 变更文件进行快速增量扫描
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — 密钥检测 + 实时密钥验证 + git 历史
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — 依赖 CVE（OSV）、依赖混淆、CMS、许可证
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — 威胁建模、误报门禁检查与可利用性分诊
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — 自动修复差异与补丁后验证
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse（Write|Edit）密钥绊线及可选的单文件扫描
├── scripts/
│   ├── sast_runner.py               # 内置的自包含 SAST 运行器与 Claude 摘要格式化器
│   └── post_edit_check.py           # 快速的 PostToolUse 钩子处理器
└── README.md

快速开始

从 GitHub 市场安装（推荐）

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

或在交互式 Claude Code 会话中：

/plugin marketplace add vulnz/sast
/plugin install sast@sast

在本地验证插件

claude plugin validate .

斜杠命令（技能）

命令	描述
/sast:scan [path]	完整 SAST + AST/污点分析（16+ 种语言）+ 密钥 + IaC + SCA 扫描
/sast:diff [path]	对 git 已修改、已暂存和未跟踪文件进行快速增量 SAST 扫描（--changed）
/sast:secrets [path]	扫描工作树和 --git-history 中的硬编码凭据，并进行实时提供商密钥验证
/sast:sca [path]	审计依赖（OSV CVE）、依赖混淆、捆绑的 JS 库、CMS 插件以及 --licenses
/sast:triage [path]	构建 STRIDE --threat-model，并依据 0 误报仅真实问题门禁对发现进行分诊
/sast:fix [path]	修复漏洞（--remediation）并使用 --changed 重新验证

子代理

• @agent-sast:security-auditor — 运行内置的 SAST 扫描器，在源文件中追踪从源到汇的数据流，并生成按优先级排序的漏洞报告。
• @agent-sast:remediation-engineer — 制作最小安全补丁，并重新运行扫描器以验证每个修复。

插件选项（userConfig）

通过 Claude Code 的插件配置对话框（/plugin → 配置选项）进行配置：

• scan_on_edit（boolean，默认 false）— 在 PostToolUse（Write|Edit）钩子中启用自动单文件 SAST 扫描。
• provider_api_key（string，sensitive: true，可选）— 可选的 API 密钥，存储在 Claude Code 的安全凭据存储中，用于独立的 AI 分诊/修复差异。