# ghost-scan-code

Ищет уязвимости в исходниках: SQL-инъекции, XSS, SSRF и другие категории OWASP. Планирует проверки, потом прогоняет их по проекту.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 5200 установок · ★ 425
- Автор: ghostsecurity
- Лицензия: Apache-2.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/ghostsecurity/skills/tree/HEAD/plugins/ghost/skills/scan-code/SKILL.md
- Обновлён: 2026-09-28
- HTML: https://affpapa.org/nevibecode/skills/ghost-scan-code

## Что делает

Скилл работает в два этапа. Сначала планировщик решает, какие векторы уязвимостей проверять в каждом проекте репозитория, затем отдельные агенты прогоняют эти проверки по конкретным файлам. Найденное проходит верификацию, так что в отчёте остаются подтверждённые находки, а не сырые срабатывания.

Покрытие делится на приложения и библиотеки. Для приложений это бэкенд, фронтенд и мобильный код: SQL-инъекции, XSS, BOLA, BFLA, SSRF и прочие категории OWASP. Для библиотек — prototype pollution, небезопасная десериализация, ReDoS, path traversal, zip slip.

Глубина задаётся аргументом `depth`: `quick` по умолчанию, ещё есть `balanced` и `full`. Режим `full` расходует заметно больше токенов, и скилл сначала спросит подтверждение — это повод не запускать его вслепую на большом монорепозитории. Результаты складываются в `$HOME/.ghost/repos/<repo_id>/scans/<short_sha>/code`, а перед первым запуском нужен кэш контекста репозитория: если файла `repo.md` нет, скилл попросит прогнать repo-context. Из инструментов ему доступны Read, Write, Edit, Glob, Grep и Bash.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add ghostsecurity/skills --skill ghost-scan-code -a claude-code
```
```bash
npx skills add ghostsecurity/skills --skill scan-code -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/scan-code/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/scan-code/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add ghostsecurity/skills --skill scan-code -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/scan-code/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add ghostsecurity/skills --skill scan-code -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/scan-code/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install ghostsecurity/skills scan-code
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/scan-code/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add ghostsecurity/skills --skill scan-code -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/ghostsecurity/skills --path plugins/ghost/skills/scan-code
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/scan-code/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add ghostsecurity/skills --skill scan-code -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/ghostsecurity/skills/tree/HEAD/plugins/ghost/skills/scan-code/SKILL.md

## Когда брать
- найти SQL-инъекции и XSS в исходниках перед релизом
- проверить библиотеку на prototype pollution и небезопасную десериализацию
- прогнать SAST-аудит по бэкенду, фронтенду и мобильному коду сразу
- отсеять ложные срабатывания сканера через этап верификации
- разложить находки по файлам и сохранить отчёт между запусками

## Примеры запросов агенту
- просканируй репозиторий на уязвимости, depth=quick
- проверь только SSRF и path traversal в папке api/
- сделай полный SAST-скан, depth=full

## Похожие
- [security-scan](https://affpapa.org/nevibecode/skills/jwynia-security-scan.md) — скилл · 471 установка
- [Next.js Security Scan](https://affpapa.org/nevibecode/skills/nextjs-security-scan.md) — скилл · 553 установки
- [Python Security Scan](https://affpapa.org/nevibecode/skills/python-security-scan.md) — скилл · 540 установок
- [secrets-scan](https://affpapa.org/nevibecode/skills/owasp-secrets-scan.md) — скилл · 337 установок
- [security-pen-testing](https://affpapa.org/nevibecode/skills/security-pen-testing.md) — скилл · 834 установки
- [vulnerability-scanning](https://affpapa.org/nevibecode/skills/vulnerability-scanning.md) — скилл · 611 установок

Из того же набора: [ghostsecurity/skills](https://affpapa.org/nevibecode/by/ghostsecurity/skills.md) — 7 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md