聊到代码安全工具，很多开发者最关心的无非两点：一是能否真正发现潜在漏洞，二是源代码会不会被外传。CodeBuddy 的做法相当务实——它不上传任何源码，不依赖云端模型推理，所有安全检测均在本地环境中完成。关键在于，它不是靠单一功能打天下，而是将五种检测能力有机结合，全面覆盖编码、提交、构建、审查的每一个开发环节。

具体如何实现？其实只需五个核心步骤，它们环环相扣，形成完整的防护链。

启用安全智能体全量扫描

这是检测深层次漏洞的基础操作，简单来说，它基于语义级别的静态代码分析，能够精准识别 SQL 注入、跨站脚本（XSS）、硬编码密钥等 OWASP Top 10 常见安全缺陷。操作非常简便：

• 直接在 IDE 中右键项目根目录，选择「CodeBuddy → Run Security Scan」即可
• 扫描完成后，左侧的「Security Issues」面板会高亮显示所有风险项
• 点击任意条目，右侧即刻显示漏洞位置、CWE 编号、触发示例，以及可一键应用的修复补丁代码

开启 Chat 模式交互式诊断

即便是强大的静态扫描，也存在盲区，例如业务逻辑的适配性、权限边界是否得到有效控制、输入污染路径是否被正确处理——这些模糊性问题，交给 Chat 模式来处理最为合适。使用方法非常直观：

• 在 CodeBuddy Chat 界面中直接提问，例如：“这段代码使用 request.args 获取参数后拼接到 os.system() 中，是否存在命令注入风险？”
• 将完整的代码片段粘贴进去，提供参数来源、调用上下文、输出方式等信息越详细，诊断结果就越准确
• 系统会返回原理说明，同时附带安全替代方案，比如使用 subprocess.run 配合 shlex.split，并给出针对 Flask 或 Django 的框架适配示例

配置 CI/CD 编译期拦截

这是团队协作中防止高危代码流入测试环境的关键屏障。将安全校验直接嵌入流水线，在代码合并前实现强制阻断。配置过程同样清晰明了：

• 项目根目录新建 .codebuddy.yml，写入以下内容：
  security:
  enable: true
  severity-threshold: high
• 然后在 Jenkins 或 GitLab CI 脚本里加上一句：
  codebuddy-cli scan --format=checkstyle
• 当构建失败时，日志会直接显示漏洞文件路径和补丁哈希值，支持一键回滚或热修复操作

激活 IDE 实时悬浮提示

在代码编辑过程中提供零延迟预警，这才是日常开发中最实用的功能。当遇到 eval()、exec()、String.format()、不安全的反序列化（unsafe deserialization）等敏感模式时，系统会即时标红，并同步提供替换建议。

• 确保插件已开启「Real-time Security Hint」选项
• 将光标悬停在危险 API 上，气泡提示会自动弹出，清晰显示风险类型和修复建议
• 直接点击「Apply Fix」按钮，系统自动替换为白名单校验、参数化查询（ParameterizedQuery）或安全序列化方式

需要强调的是，这五种检测方式并非“选其一”，而是可以根据需求灵活叠加。日常开发中，开启实时提示并手动触发全量扫描即可满足基本安全需求；团队协作时，务必加入 CI/CD 拦截机制；遇到逻辑模糊的安全问题，切换到 Chat 模式进行深度追问。所有操作均在本地沙箱环境中运行，隐私保护和合规性都有可靠保障。