rafter-security
AI工作流安全扫描与审计工具包
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：rafter-security。 它的用途是：AI工作流安全扫描与审计工具包 完整的 Skill 内容见：https://321skill.com/skills/rafter-security-x-6/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'使用rafter扫描当前项目代码中的漏洞'，它会执行rafter run命令进行远程SAST+SCA分析，返回漏洞详情和修复建议。
对AI说：'审查这个MCP配置的安全性'，它会调用rafter skill review分析配置中的敏感信息、权限过高等风险。
对AI说：'评估这条Shell命令的风险'，它会使用rafter agent exec --dry-run输出风险等级（低/中/高）并解释原因。
介绍
解决什么问题 在AI工作流中，代码、第三方技能（MCP）、Agent配置和Shell命令都可能引入安全风险。传统安全工具往往只关注代码漏洞，忽略了AI特有的组件（如技能配置、Agent行为）和命令执行风险。Rafter Security 专为AI工作流设计，提供代码静态分析（SAST）、软件组成分析（SCA）、密钥泄露检测、命令风险分类、技能/配置审计等功能，覆盖从开发到部署的全链路安全。
怎么用
安装后即可使用四个核心命令：rafter run 进行远程SAST+SCA扫描（需配置RAFTER_API_KEY）；rafter secrets 离线扫描密钥硬编码；rafter agent exec --dry-run 对Shell命令进行风险等级分类，防止误执行危险操作；rafter skill review 审查第三方技能、MCP或Agent配置的安全性。所有命令均支持输出JSON或表格，便于集成到CI/CD或AI Agent流程中。
适合谁 后端开发者、运维工程师、智能体开发者，以及任何需要保证AI工作流安全的团队。尤其适合在安装第三方技能、审查Agent配置、执行Shell命令前进行快速风险评估。
使用建议
建议将rafter run加入CI/CD流水线，每次提交代码时自动扫描；rafter agent exec --dry-run可作为终端命令执行的安全门禁；对于涉及敏感数据的项目，务必开启rafter secrets离线扫描。注意：远程扫描依赖API密钥，离线扫描仅检测密钥格式，不保证100%覆盖。
核心特点
与其他安全扫描工具相比，Rafter Security 专为AI工作流打造，能审计第三方技能、MCP和Agent配置的安全性，并对Shell命令进行风险分类，同时支持生成新功能的安全设计问题清单，这是传统SAST/SCA工具不具备的能力。
注意事项
不适合运行时安全监控、渗透测试或网络层安全分析，远程扫描需要API密钥且依赖云端服务。
常见问题
使用rafter需要API密钥吗？
rafter run 需要 RAFTER_API_KEY 进行远程SAST+SCA扫描；rafter secrets 和 rafter agent exec --dry-run 可离线使用，无需密钥。
rafter能扫描哪些语言？
支持主流语言（Python、JavaScript、Java、Go等），具体取决于后端扫描引擎，离线扫描密钥格式不限语言。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/rafter-security-x-6/raw/index.md 读取 rafter-security 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/rafter-security-x-6/raw/index.md（查看排版版本）