rafter-security
AI工作流安全工具包，扫描代码、配置和命令风险
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：rafter-security。 它的用途是：AI工作流安全工具包，扫描代码、配置和命令风险 完整的 Skill 内容见：https://321skill.com/skills/rafter-security-x-4/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'帮我扫描当前目录的代码仓库，查找所有硬编码的密钥和配置安全风险'，它会运行 `rafter secrets` 和 `rafter skill review` 命令，输出包含密钥位置、风险等级和修复建议的报告。如果发现可疑的 shell 命令，还可使用 `rafter agent exec --dry-run` 模拟执行并评估风险。
介绍
Rafter Security 专为 AI 工作流设计，解决代码仓库、第三方技能（MCP/Agent 配置）和 Shell 命令的安全隐患。它提供四种核心能力：远程 SAST + SCA 扫描（需 API Key）、离线密钥泄露检测、命令风险分类（dry-run 模式）以及技能/配置审计。无论是开发 AI 应用时引入外部依赖，还是执行自动化脚本前评估风险，都能帮你提前发现漏洞、密钥泄露和权限问题。
使用非常简单：通过 rafter run 启动远程扫描（需要设置 RAFTER_API_KEY），rafter secrets 离线扫描当前目录下的硬编码密钥，rafter agent exec --dry-run 模拟执行命令并给出风险等级，rafter skill review 审查 MCP 或 Agent 技能配置的安全性。所有命令均返回结构化报告，支持 CI/CD 集成。
适合智能体开发者、后端工程师和运维人员。如果你经常在 AI 工作流中调用第三方工具、管理 Agent 技能或编写自动化脚本，这个工具能显著降低安全风险。尤其适合需要快速验证外部代码包、MCP 配置或 Shell 命令安全性的场景。
建议先使用 rafter secrets 进行离线密钥扫描，避免敏感信息泄露。对于生产环境，搭配 rafter run 远程扫描可覆盖更全面的漏洞类型。注意：rafter run 依赖云端 API，可能需要网络连接和额度；离线模式无需网络，但功能有限。
核心特点
与通用代码扫描工具不同，Rafter Security 专门针对 AI 工作流场景，提供命令风险分类（dry-run）和技能/配置审查功能，可审计 MCP、Agent 配置等 AI 特有组件，而非仅扫描传统代码。
注意事项
不适合对大型商业项目进行深度代码审计或复杂依赖分析，且远程扫描依赖 API 服务，无网络时功能受限。
常见问题
rafter run 需要 API Key 吗？
是的，`rafter run` 执行远程 SAST+SCA 扫描需要设置 RAFTER_API_KEY，离线模式 `rafter secrets` 无需 API Key。
支持扫描哪些语言？
支持常见编程语言（Python、JavaScript、Go、Java 等），具体语言列表取决于后端扫描引擎，建议查看项目文档。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/rafter-security-x-4/raw/index.md 读取 rafter-security 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/rafter-security-x-4/raw/index.md（查看排版版本）