sca 技能手册

SCA — Smart Code Auditor，Hermes 代码审计技能。

仓库：git@git.atibm.com:at/skill-code-auditor.git
安装：/opt/data/skills/software-development/sca/
CLI：sca
版本：v0.1.0
设计来源：undeadlist/claude-code-agents (141⭐)

触发方式

方式	示例
对话触发	`sca /path/to/project`
CLI 版本	`sca version`
CLI 更新	`sca update`
CLI 列表	`sca list`
CLI 删除	`sca rm <ts>`

审计工作流

用户输入 sca <path>
    │
    ▼
Step 0: 输入整理   →  确认路径 → 确定范围
    │
    ▼
Step 1: 理解代码   →  扫描结构 → 识别技术栈
    │
    ▼
Step 2: 并行审计   →  11 个子代理并行（delegate_task）
    │
    ▼
Step 3: 汇总分析   →  去重 → 优先级排序
    │
    ▼
Step 4: 输出交付   →  审计报告 + 发现说明

11 审计维度

维度	专注领域	关键检查项
code-auditor	代码质量	类型安全、复杂度、可维护性、DRY、死代码、console.log
bug-auditor	运行时 Bug	空指针、错误处理、竞态条件、资源泄漏、async/await
security-auditor	安全	OWASP Top 10、注入、认证、密钥泄露、CSRF
perf-auditor	性能	热点循环、N+1 查询、缓存缺失、大对象复制
db-auditor	数据库	N+1、索引缺失、慢查询、连接泄漏
dep-auditor	依赖	过时依赖、CVE、许可证冲突、无用依赖
doc-auditor	文档	缺失 docstring、过期注释、README/CHANGELOG 缺失
infra-auditor	基础设施	Dockerfile、CI/CD、配置、环境变量
ui-auditor	UI/UX	无障碍、响应式、加载态/空态/错误态
api-auditor	API	REST 规范、参数校验、错误格式、版本管理
style-auditor	代码风格	命名规范、格式化、导入顺序、项目约定

严重级别

级别	定义	修复时限
🔴 严重	数据丢失/安全漏洞	立即
🟠 高	影响功能正确性	本周
🟡 中	代码质量问题	本月
🟢 低	风格/文档改进	空闲时

为什么 SCA 能解决 Hermes 审计分低的问题

对比分析见 Hermes vs OpenCode 代码审计能力对比，SCA 的设计针对性解决了四个根因：

代码加载碎片化 → AI 用 search_files/read_file 批量扫描，模拟 OpenCode 的全量加载
无任务分解 → 11 维度分而治之，每个维度独立 sub-prompt
无检查清单 → 每个 agent prompt 内有明确检查项目和严重级别定义
工具打断推理 → 并行 delegate_task 避免串行工具调用的上下文刷新

文件结构

skill-code-auditor/
├── SKILL.md              ← AI 工作流入口
├── README.md             ← 人工手册
├── VERSION.json          ← 版本元数据
├── agents/               ← 11 审计 agent prompt
│   ├── code-auditor.md
│   ├── bug-auditor.md
│   ├── security-auditor.md
│   ├── perf-auditor.md
│   ├── db-auditor.md
│   ├── dep-auditor.md
│   ├── doc-auditor.md
│   ├── infra-auditor.md
│   ├── ui-auditor.md
│   ├── api-auditor.md
│   └── style-auditor.md
└── scripts/
    └── sca               ← CLI 入口

📅 2026-06-06 · 基于 undeadlist/claude-code-agents 设计模式适配 Hermes