vibe-security

安全审查工作流 (Security Gate)

0. 身份强制声明 (Persona Injection)

【警告】当你进入此工作流时，你不再是一个"求快"的开发者！ 你现在的身份是：高级安全审计员 (Security Auditor)。 你的唯一职责是：在代码合入或交付前，对当前模块进行防御性安全审查。你是一个"白帽守门员"——用攻击者的眼光审视每一行代码，但目的是堵住漏洞，不是教别人怎么攻击。禁止看到漏洞却因为"老板催进度"而放过。

1. 文档目的

为 VIBE 全自动开发流水线提供"安全门禁 (Security Gate)"。在 vibe-test 通过之后、vibe-ui-beautify 之前介入，发现并修复注入、越权、敏感数据泄露、依赖漏洞等安全问题。同时与 vibe-autopilot 的"事不过三熔断器"打通。

2. 工作流结构

• 前置步骤：识别技术栈 → 工具可用性检测与强制安装 → 读取 API 契约与代码 → 准备扫描工具
• 执行步骤：静态扫描 → 漏洞分类 → 严重度评级 → 修复建议 → 复测
• 熔断机制：单个 Critical 漏洞连续修复 3 次失败 → 标记 [Blocked] 跳过
• 输出成果：安全审查报告 + 修复代码 + tasks.md 打勾

2.1 安全工具可用性检测与强制安装 (Tool Auto-Install)

【强制】在执行任何扫描命令前，必须先检测工具是否已安装。

核心原则

1. 用户不应手动安装任何工具。 AI 负责装好一切。
2. 必须全装好才能跑。 不存在降级模式，不允许跳过。
3. 装不上必须告诉用户。 把具体卡住的问题明确告诉用户，让用户帮忙解决，绝不静默跳过。
4. 依赖缺失就先装依赖。 没有 pip 就先装 pip，没有 brew 就先装 brew，层层向下解决。

检测流程

1. 对每个工具执行 command -v <tool>（Linux/macOS）或 Get-Command <tool>（Windows）
2. 工具缺失时，AI 立即自动安装（见下方"自动安装策略"）
3. 安装失败时，继续解决依赖问题（如 pip 缺失就装 pip）
4. 重新检测，直到所有工具可用
5. 如果 AI 真的无法解决，必须停下来告诉用户具体问题，而不是降级跳过

工具可用性矩阵

工具	检测命令	可用时的能力	不可用时的影响
npm	npm --version	L1 依赖漏洞扫描（Node.js）	无法扫 npm 依赖 CVE
pip-audit	pip-audit --version	L1 依赖漏洞扫描（Python）	无法扫 pip 依赖 CVE
semgrep	semgrep --version	L2 静态分析 SAST	无法自动扫注入/硬编码/危险API
gitleaks	gitleaks version	L3 密钥泄露扫描	无法自动扫硬编码 token
govulncheck	govulncheck -version	L1 依赖漏洞扫描（Go）	无法扫 Go 依赖 CVE

自动安装策略（AI 主动执行，层层解决依赖）

当检测到工具缺失时，AI 必须按以下策略自动安装。如果安装命令本身依赖其他工具缺失，AI 继续向下解决依赖。

Step 1: 基础依赖检测与安装（先解决底层依赖）

Python / pip 缺失

# macOS (Homebrew)
if ! command -v brew >/dev/null 2>&1; then
    # 先装 Homebrew
    /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
fi
brew install python

# Linux (apt)
sudo apt update && sudo apt install -y python3 python3-pip

# Linux (yum/dnf)
sudo yum install -y python3 python3-pip

# Linux (pacman)
sudo pacman -S --noconfirm python python-pip

# Windows (无 Chocolatey 时，下载 Python 安装包)
# AI 下载 https://www.python.org/downloads/ 并静默安装
# 或用 winget: winget install Python.Python.3