💡 阅读前记得关注+星标，及时获取更新推送
最近有群友问我，你是做安全的，AI写代码这么快，安全怎么保证？这问题问到点子上了。
说实话，我这十来年干下来，见过太多因为赶进度留下的安全隐患。后面要一波一波做安全加固和整改、来满足合规和安全相关的要求。以前是人写代码容易犯错，现在AI写代码更快，但也更容易把坑带进去。SQL注入、XSS、硬编码密钥这些老问题，AI一样会犯。
前两天看到Omar Santos搞的一个东西，把Project CodeGuard这套安全框架集成到Claude Code里，我觉得这个方向挺对。今天就跟你们聊聊AI代码安全分析这块的门道。
AI写代码的安全困境
用过Claude Code或者Cursor的都知道，这些工具写代码快，但对安全的理解就是个黑盒。让它写个查询接口，可能直接拼SQL；处理表单，可能把数据直接塞HTML里。SQL注入、XSS这些经典漏洞，AI一样会犯。
这不是AI不行，是它没被告知要怎么"安全地"写代码。人工Code Review效率低容易漏，现在用AI写代码，这问题放大了十倍。
Project CodeGuard - 给AI装上安全意识
Project CodeGuard做的事情不复杂：把安全最佳实践整理成一套规则集，让AI写代码时自动参考。
规则覆盖八大安全域：密码学（别用MD5/SHA1，用AES-256/SHA-256）、输入验证（SQL注入/XSS/命令注入防护）、身份认证（MFA、OAuth2.0）、访问控制、供应链安全、云基础设施、平台安全、数据保护。
关键是模型无关，Claude Code、Cursor、GitHub Copilot都能用。规则用Markdown写的，GitHub上开源免费。
集成步骤 - 半小时搞定
直接说怎么干。
第一步，去GitHub把规则拉下来：
git clone https://github.com/project-codeguard/rules.git
第二步，创建技能目录结构：
software-security/├── rules/ # 把clone下来的规则文件放这里└── SKILL.md # 技能说明文件
第三步，编写SKILL.md，完整内容如下（直接复制即可）：
---name: software-securitydescription: A software security skill that integrates with Project CodeGuard to help AI coding agents write secure code and prevent common vulnerabilities. Use this skill when writing, reviewing, or modifying code to ensure secure-by-default practices are followed.metadata: codeguard-version: "1.0.0" framework: "Project CodeGuard" purpose: "Embed secure-by-default practices into AI coding workflows"---# Software Security Skill (Project CodeGuard)This skill provides comprehensive security guidance to help AI coding agents generate secure code and prevent common vulnerabilities. It is based on **Project CodeGuard**, an open-source, model-agnostic security framework that embeds secure-by-default practices into AI coding workflows.## When to Use This SkillThis skill should be activated when:- Writing new code in any language- Reviewing or modifying existing code- Implementing security-sensitive features (authentication, cryptography, data handling, etc.)- Working with user input, databases, APIs, or external services- Configuring cloud infrastructure, CI/CD pipelines, or containers- Handling sensitive data, credentials, or cryptographic operations## How to Use This SkillWhen writing or reviewing code:1. Always-Apply Rules: Some rules MUST be checked on every code operation: - `codeguard-1-hardcoded-credentials.md` - Never hardcode secrets, passwords, API keys, or tokens2. Context-Specific Rules: Apply rules based on the technology, language, or feature being implemented: - Review the relevant rule files in the `rules/` directory - Match rules to the specific languages and technologies in use - Follow the guidance, checklists, and examples provided3. Proactive Security: Don't just avoid vulnerabilities-actively implement secure patterns: - Use parameterized queries for database access - Validate and sanitize all user input - Apply least-privilege principles - Use modern cryptographic algorithms and libraries - Implement defense-in-depth strategies## CodeGuard Security RulesThe security rules are available in the `rules/` directory.### Usage WorkflowWhen generating or reviewing code, follow this workflow:### 1. Initial Security CheckBefore writing any code:- Check: Will this handle credentials? → Apply codeguard-1-hardcoded-credentials- Check: What language am I using? → Identify applicable language-specific rules- Check: What security domains are involved? → Load relevant rule files### 2. Code GenerationWhile writing code:- Apply secure-by-default patterns from relevant Project CodeGuard rules- Add security-relevant comments explaining choices### 3. Security ReviewAfter writing code:- Review against implementation checklists in each rule- Verify no hardcoded credentials or secrets- Validate that all the rules have been successfully followed when applicable.- Explain which security rules were applied- Highlight security features implemented
第四步，上传到Claude平台（https://platform.claude.com/workspaces/default/skills），或者放到项目的`.claude/skills`目录下。
搞完之后测一下。让Claude Code写一个Node.js函数，从URL参数拿用户名查数据库。
以前的AI可能直接给你写成这样：
function getUser(req, res) { const username = req.query.username; const query = `SELECT * FROM users WHERE username = '${username}'`; db.query(query, (err, results) => { // ... });}
这代码跑起来没问题，但SQL注入漏洞大开着。别人只要在username里传个' OR '1'='1，你整个用户表就泄露了。
加了security技能之后，Claude Code会：
- • 查阅
codeguard-0-input-validation-injection.md规则
生成的代码变成这样：
function getUser(req, res) { const username = req.query.username; // 使用参数化查询防止SQL注入 const query = 'SELECT * FROM users WHERE username = ?'; db.query(query, [username], (err, results) => { // ... });}
这才是真正的"安全左移"，漏洞在生成阶段就被堵住了，而不是等到Code Review或者上线后才发现。
实践中要注意啥
这套东西我试了下，有几点要提醒：
规则得补充。CodeGuard覆盖八大域，但业务场景千变万化。比如我之前做信息安全产品，国密算法SM2、SM3、SM4这些，通用规则里没有，得自己补。
不能全靠AI。AI有时误判，有时漏检。关键系统还是得人工复审，AI是辅助角色。
规则要和团队规范结合。比如团队要求数据库操作必须走ORM，那规则就该强化这点，而不只是建议用参数化查询。
理想的安全能力是什么样
AI代码安全分析，我觉得至少需要三个能力：
实时建议：不是写完再检查，而是在写的过程中就给建议。你刚输入db.query(，AI就该提示你用参数化查询。
上下文理解：不能只看单个函数，得理解整个调用链。一个函数本身没输入验证，但调用方已经验证过了，那就不算问题。
业务适配：通用规则覆盖通用场景，具体业务的安全要求得能自定义。比如金融系统所有金额计算必须用BigDecimal，不能用float。
Project CodeGuard加Claude Code技能这个组合，方向是对的，至少让AI开始"思考"安全问题了。
还有哪些坑
说实话，这套东西还不完美。
规则维护成本不低：CodeGuard现在几十个规则文件，后面可能几百个。谁来维护、怎么保证质量，这是个问题。
多语言支持还不够：Java、Python、JavaScript还行，但Go、Rust、C++这些差点意思。每种语言的安全最佳实践都不一样。
合规性要求没法覆盖全：不同行业、不同地区差异太大，GDPR、等保、PCI DSS这些，通用规则搞不定。
这些问题需要整个社区一起探索。
如果这篇文章对你有帮助，欢迎点赞转发，关注不迷路⭐️
写在最后
AI写代码是大势所趋，但安全不能打折扣。
我见过太多因为忽视安全导致的事故。SQL注入导致几百万用户数据泄露，被罚几千万；硬编码的AWS密钥泄露到GitHub，半小时不到就被人挖矿，账单飙到十几万美元。这些都是可以避免的。
现在有了AI工具，我们有机会让安全意识"内置"到代码生成过程中。Project CodeGuard这样的开源项目，就是在做这件事。但工具只是工具，最终还是得靠人。规则要人来定，代码要人来审，责任要人来担。
对于想要在团队里推广AI编程工具的同学，我的建议是：别光看速度，安全也得跟上。先把规则建立起来，然后再让AI跑起来。就像开车，先学交规，再上路。
后续我会继续分享实践经验，包括怎么定制规则、怎么和CI/CD集成、怎么做安全审计等等。咱们慢慢聊。
参考资源：
- • [Creating a Custom Code Security Claude Skill that Integrates with Project CodeGuard]https://becomingahacker.org/creating-a-custom-code-security-claude-skill-that-integrates-with-project-codeguard-b1ed0a3e5c00
- • [Project CodeGuard GitHub仓库]https://github.com/project-codeguard/rules
- • [Claude Code安全文档]https://code.claude.com/docs/en/security
- • [Equipping Claude Code with Deterministic Security Guardrails]https://blog.codacy.com/equipping-claude-code-with-deterministic-security-guardrails
