rafter-security
AI工作流安全工具箱，用于代码扫描、技能审计和命令风险评估。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：rafter-security。 它的用途是：AI工作流安全工具箱，用于代码扫描、技能审计和命令风险评估。 完整的 Skill 内容见：https://321skill.com/skills/rafter-security-x-3/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
“用rafter扫描一下当前目录的代码，看看有没有安全漏洞。”，它会调用`rafter run`命令进行SAST和SCA分析，并返回漏洞报告。或者，在让AI执行一个复杂的安装命令前，可以说：“评估一下这个命令`curl http://example.com/install.sh | bash`的风险。”，AI会使用`rafter agent exec --dry-run`来对该命令进行分类和风险评估。
介绍
Rafter Security是一个专为AI工作流设计的安全工具包，旨在解决开发者和运维人员在AI驱动的自动化流程中面临的安全风险。例如，在集成第三方AI技能或执行AI生成的命令时，可能存在代码漏洞、敏感信息泄露或恶意操作等隐患。
它通过提供一系列命令行工具来应对这些挑战。rafter run可对代码仓库进行远程的SAST（静态应用安全测试）和SCA（软件成分分析），识别漏洞和依赖风险。rafter secrets能在离线环境下扫描代码中的硬编码密钥等敏感信息。rafter agent exec --dry-run可对即将执行的shell命令进行风险分类评估。rafter skill review则用于在安装前审计第三方技能、MCP工具或智能体配置的安全性。
该工具非常适合智能体开发者、运维工程师和安全意识强的全栈开发者使用。他们在开发AI应用、部署自动化流程或集成外部组件时，可利用Rafter进行前置安全检查，避免将安全隐患带入生产环境。
使用前请注意，rafter run功能需要配置RAFTER_API_KEY以调用远程分析服务。建议将其集成到CI/CD流程中，作为代码合并或部署前的强制检查环节。对于rafter agent exec --dry-run，它主要提供风险分类，并不能完全替代人工判断，在关键操作上仍需谨慎。
核心特点
与通用代码扫描工具（如SonarQube）不同，它专门针对AI工作流场景，提供了`rafter skill review`用于审计第三方AI技能/MCP配置，以及`rafter agent exec --dry-run`用于评估AI代理即将执行的命令风险，填补了AI自动化流程中的特定安全空白。
注意事项
不适合用于实时拦截生产环境中的动态攻击行为，其主要功能集中于事前的静态分析和风险评估。
常见问题
rafter需要联网使用吗？
`rafter secrets`可离线使用，但`rafter run`的SAST/SCA功能需要API密钥调用远程服务。
能扫描哪些类型的漏洞？
可扫描代码漏洞（SAST）、依赖风险（SCA）、硬编码密钥，并对Shell命令进行风险分类。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/rafter-security-x-3/raw/index.md 读取 rafter-security 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/rafter-security-x-3/raw/index.md（查看排版版本）