# security-sast

Проверяет код на уязвимости с помощью SAST-инструментов и правил для разных языков. Подходит для ревью, поиска секретов и проверки перед релизом.

- команда · `type=command` · Claude Code, Codex, Cursor · ★ 41823
- Автор: Seth Hobson
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/wshobson/agents/tree/HEAD/plugins/security-scanning/commands/security-sast.md
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/commands/security-sast

## Что делает

Команда анализирует Python, JavaScript и TypeScript, Java, Ruby, PHP, Go и Rust. Она ищет SQL-инъекции, XSS, секреты в коде, обход путей, IDOR, CSRF, небезопасную десериализацию и командные инъекции. Также учитывает паттерны Django, Flask, React, Express, Spring Boot, Rails и Laravel.

Внутри используются Bandit, Semgrep, ESLint Security, SonarQube, CodeQL, PMD, SpotBugs, Brakeman, gosec и cargo-clippy. Для отдельных политик можно создавать правила Semgrep. Результаты сохраняются в JSON-отчёты, а Semgrep поддерживает режим CI.

Проверки опираются на внешние сканеры: без нужного инструмента соответствующий запуск не выполнится. Для Python нужен `bandit` или `semgrep`, для JavaScript и TypeScript устанавливаются ESLint и плагины безопасности.

## Установка

### Claude Code (родная платформа)

1. **Через маркетплейс плагинов**
В чате агента (не в терминале):
```text
/plugin marketplace add wshobson/agents
```
В чате агента (не в терминале):
```text
/plugin install security-scanning@claude-code-workflows
```

2. **Вручную: положить файлы**
- Файл: `.claude/commands/security-sast.md` — Вызов — /security-sast. Для всех проектов — ~/.claude/commands/

### Codex

**Вручную: положить файлы**
- Файл: `~/.codex/prompts/security-sast.md` — Вызов — /prompts:security-sast. В Codex этот формат помечен устаревшим, замена — скиллы

### GitHub Copilot

**Вручную: положить файлы**
- Файл: `.github/prompts/security-sast.prompt.md`

### Gemini CLI

**Вручную: положить файлы**
- Файл: `.gemini/commands/security-sast.toml` — Gemini хранит команды в TOML: текст запроса — в поле prompt

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/wshobson/agents/tree/HEAD/plugins/security-scanning/commands/security-sast.md

## Когда брать
- найти SQL-инъекции и XSS в исходниках
- проверить код на секреты и токены
- обнаружить небезопасную работу с файлами и shell-командами
- сопоставить проверки с OWASP и внутренними правилами

## Примеры запросов агенту
- Запусти `/security-scanning:security-sast` и проверь проект на уязвимости.
- Запусти `/security-scanning:security-sast` для поиска секретов, SQL-инъекций и XSS.
- Запусти `/security-scanning:security-sast`, выбери подходящие сканеры и подготовь JSON-отчёты.

## Похожие
- [sast-sca-security-analyzer](https://affpapa.org/nevibecode/agents/sast-sca-security-analyzer.md) — субагент · ★ 40451
- [find-security-vulnerabilities-in-code](https://affpapa.org/nevibecode/skills/find-security-vulnerabilities-in-code.md) — скилл · 12500 установок
- [security-bounty-hunter](https://affpapa.org/nevibecode/skills/security-bounty-hunter.md) — скилл · 4500 установок
- [hookify](https://affpapa.org/nevibecode/commands/hookify.md) — команда · ★ 44770
- [modernize-harden](https://affpapa.org/nevibecode/commands/modernize-harden.md) — команда · ★ 44770
- [modernize-assess](https://affpapa.org/nevibecode/commands/modernize-assess.md) — команда · ★ 44770
- [security-audit](https://affpapa.org/nevibecode/commands/security-audit.md) — команда · 1485 установок
- [setup-docker-containers](https://affpapa.org/nevibecode/commands/setup-docker-containers.md) — команда · 740 установок

Из того же набора: [wshobson/agents](https://affpapa.org/nevibecode/by/wshobson/agents.md) — 432 карточки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md