【免费下载链接】ship-safeThe independent security agent for AI-written software. Finds issues, investigates whether they are real, and shows you the evidence. Deterministic core, no API key needed, JSON and SARIF output.项目地址https://gitcode.com/gh_mirrors/sh/ship-safe点击查看免费下载如果你正用 Claude Code 或 Codex 写代码很可能遇到过这种情况AI 把 API Key 直接写进源码或者随手执行一条curl | bash命令而没人拦它。Ship Safe就是为 AI 生成的代码而生的独立安全代理——它通过 8 个安全 Skills 和实时 Hooks在秘密落盘之前拦截泄露无需 API Key、核心检测全部本地运行并支持 JSON 和 SARIF 输出。本文带你用最少步骤把 Claude Code 和 Codex 都接入这套安全护栏。为什么 AI 写码需要一道安全闸门AI 编码助手效率很高但有两个常见隐患秘密写进文件AI 经常把密钥、令牌、数据库连接串硬编码到代码里一旦提交就泄露危险命令无人复核curl | bash、凭据外传这类 Bash 调用AI 可能直接执行。Ship Safe 的思路是先发现、再求证、给证据确定性引擎负责发现问题调查层会追踪污点数据的传播路径确认是真问题还是误报每条结论都附带代码行号证据。Claude Code 插件一个审计入口 8 个安全 Skills在 Claude Code 中安装 Ship Safe 插件后你会得到一个完整的审计入口和 8 个各司其职的安全 Skills全部通过npx调用最新版零配置安装位置见 claude-code-plugin/Skill作用说明文件/ship-safe-scan快速扫描泄露的秘密API Key、密码、令牌SKILL.md/ship-safe-score输出 0-100 安全健康分A-F 评级SKILL.md/ship-safe-hooks一键安装实时 Hooks拦截秘密与危险命令SKILL.md/ship-safe-fix自动修复硬编码秘密、TLS 绕过、XSS 等常见问题SKILL.md/ship-safe-red-team多智能体红队扫描覆盖 80 攻击类别SKILL.md/ship-safe-deepLLM 驱动的深度污点分析降低误报SKILL.md/ship-safe-baseline建立安全基线后续只报新增回归问题SKILL.md/ship-safe-ciCI/CD 安全门禁支持 SARIF 输出SKILL.md加上总入口/ship-safe22 个 Agent、80 攻击类别的完整审计日常使用只需记住三步平时让 Hooks 在后台盯着每一次写入改完代码用/ship-safe-score看一眼分数准备发版前用/ship-safe跑一次完整审计让 Claude Code 直接用白话解释发现并给出修复建议。扫描范围覆盖秘密、注入、认证绕过、SSRF、供应链、Supabase RLS、MCP 安全、提示词注入、PII 合规等 15 大类详见 claude-code-plugin/README.md。Ship Safe 终端安全扫描输出演示Hooks 实时拦截秘密落盘前就拦下这是整个方案的核心。安装命令只有一条安装逻辑见 cli/commands/hooks.jsnpx ship-safelatest hooks install安装器会把钩子脚本复制到~/.ship-safe/hooks/稳定目录并注册到~/.claude/settings.json立即生效、无需重启。两个钩子分工明确PreToolUse执行前拦截每次Write/Edit/Bash调用前先过一遍检查。写入内容里发现关键秘密API Key、令牌、私钥直接阻断理由会回显给 Claude 和你curl | bash、凭据外传等危险 Bash 模式同样被拦截。核心逻辑在 cli/hooks/pre-tool-use.js。PostToolUse写入后复核扫描刚写下的文件把咨询性发现注入对话上下文提醒但不阻断。几个贴心的细节.env文件被识别为秘密该放的地方不会误伤但如果.gitignore没覆盖它会给你一条警告.env.example这类纯示例文件直接放行状态行显示Protected by Ship Safe只在两个强制钩子和脚本都就绪时才亮起否则显示Ship Safe inactive——它不是装饰性徽章实现见 cli/hooks/status-line.js。装完可以用npx ship-safelatest hooks status验证不需要时用hooks remove干净卸载且只移除 Ship Safe 自己的注册项不影响其他 Claude Code 配置。完整说明见 docs/integrations/claude-code.md。Codex 接入3 行配置开通 MCP 安全工具Codex 通过 MCPModel Context Protocol客户端配置接入 Ship Safe。在 Codex 的config.toml中加入[mcp_servers.ship_safe] command npx args [ship-safe, mcp]重启会话后Codex 就能在对话中直接调用这些安全工具scan_repo多智能体全仓扫描、scan_secrets凭据与 API Key 检测、analyze_file单文件审查、get_findings读取已保存报告、get_checklist发布就绪检查以及ship_safe_status确认连接可用。推荐的 Codex 工作流改代码前先让它扫一遍仓库 → 实现后复查修改过的文件 → 提交或发版前跑最终扫描并且把扫描范围限定在授权仓库内不要通过工具参数传递秘密。需要说明的边界MCP 接入提供的是按需可调用的安全工具不是逐次拦截的强制层因此 Ship Safe 不会仅凭 MCP 配置就显示保护徽章见 docs/integrations/codex.md。想要 Claude Code 那种实时拦截就用上一节的 Hooks。组合拳你的完整防护流程把两种接入方式叠起来就是一条从开发到发布的完整防线写代码时Claude Code Hooks 实时拦截秘密与危险命令PreToolUse PostToolUse写代码时Codex 用户MCP 工具随时按需扫描当前改动提 PR 前/ship-safe-score快速看分/ship-safe-fix自动修复CI 阶段/ship-safe-ci生成 SARIF 接入代码扫描分数低于阈值直接阻断流水线存量项目/ship-safe-baseline接受现状为基线之后只关注新回归。常见问题需要 API Key 吗不需要。核心扫描完全本地、确定性执行LLM 深度分析功能在你配置了相应 Provider 时才启用可加--no-ai强制纯本地。有环境要求吗需要 Node.js 18 以及 Claude Code CLI。状态行不亮怎么办运行hooks status查看哪个环节缺失通常是钩子脚本未安装完整重装即可。Codex 里能显示Protected by Ship Safe吗不能也不应该——MCP 连接只代表工具可用实时保护徽章仅对应经过验证的 Hooks 生命周期。更多集成细节可参考 docs/integrations/Hooks 拦截模式定义见 cli/hooks/patterns.js。赞分享【免费下载链接】ship-safeThe independent security agent for AI-written software. Finds issues, investigates whether they are real, and shows you the evidence. Deterministic core, no API key needed, JSON and SARIF output.项目地址https://gitcode.com/gh_mirrors/sh/ship-safe点击查看免费下载相关推荐dotclaude完整指南7个Agents、12个Skills与8个Hooks打造标准Claude Code配置dotclaude完整指南7个Agents、12个Skills与8个Hooks打造标准Claude Code配置 如果你在用 Claude Code 做日常claude-code-infrastructure-showcase 集成实战Skills 自动激活、Hooks 与 Agents 的 Claude Code 基础设施接入指南claude code infrastructure showcase 集成实战Skills 自动激活、Hooks 与 Agents 的 Claude Cod人工智能AI 技能开发工具提示工程GHelper 使用指南3步配置华硕笔记本的风扇、GPU模式与电池管理GHelper 使用指南3步配置华硕笔记本的风扇、GPU模式与电池管理 GHelper 是一款面向华硕笔记本与 ROG 设备的轻量级硬件控制工具一个 exe桌面应用创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
