借助AI辅助编程的Vibe coder正在肉眼可见地增多，开发者群体中涌现出大量使用Claude等工具生成代码的新手。
这当然是好事。但说实话，用AI写写landing page还说得过去，怎么炫酷怎么来。可一旦要正经开发一个应用，几乎都绕不开服务端API和数据库存储。而对那些零基础经验、话却比代码漂亮的Vibe coder们，最让人悬着一颗心的，就是安全与性能这两个核心痛点。
结局很可能是：得到一套表面光鲜如PPT、内里却布满深坑的屎山代码。
懂的都懂。
但现在，Claude Code正式出手收拾安全这个烂摊子了。
就在刚刚，Claude Code推出了自动化安全审查功能，核心能力聚焦于两点：
- 可直接在终端运行的
/security-review命令 - 自动审查每个PR的GitHub Actions集成
/security-review 这个斜杠命令，将安全分析的门槛直接踩平了。在终端里敲下该命令，Claude就会开始扫描代码——SQL注入风险、XSS漏洞、不安全的数据处理，一个都不放过。发现漏洞之后呢？直接让Claude修复，就这么简单粗暴。
更进一步，Claude Code还支持对每个PR做GitHub Actions集成。启用方式直截了当：在仓库的 .github/workflows/security.yml 里添加以下配置：
name: SecurityReview
permissions:
pull-requests:write
contents:read
on:
pull_request:
jobs:
security:
runs-on:ubuntu-latest
steps:
-uses:actions/checkout@v4
with:
ref:${{github.event.pull_request.head.sha||github.sha}}
fetch-depth:2
-uses:anthropics/claude-code-security-review@main
with:
comment-pr:true
claude-api-key:${{secrets.CLAUDE_API_KEY}}
配置完成后，每次有人——或者你的猪队友——提交了一个有安全问题的PR，系统都会自动检测出漏洞，然后在代码行上直接添加内联注释，清晰指出问题所在以及修复方法。
Anthropic内部早就用上了这套系统。他们分享过一个真实案例：在一次内部工具的审查中，该工具发现了一个潜在的远程代码执行漏洞。多亏了GitHub Action的自动拦截，在生产环境被攻破之前就成功修复了。
远程代码执行漏洞——这玩意儿一旦被利用，你的服务器就跟脱了底裤似的，攻击者想干什么就干什么。
跟传统的SAST（静态应用安全测试）工具相比，Claude的安全审查优势十分明显：它能理解代码的实际意图和上下文，而非简单匹配模式。因为真正读懂了代码，AI驱动的分析能大幅减少噪音——不是每个“看起来危险”的操作都真的有风险。
当然，Claude不会只丢下一句「这里有问题」就走人。它会解释为什么这是个漏洞，以及如何修复。检测范围也相当全面：注入攻击（SQL、命令、LDAP、XPath、NoSQL、XXE）、认证授权问题、数据泄露、加密问题、输入验证、业务逻辑缺陷、配置安全、供应链安全、代码执行漏洞、XSS——几乎覆盖了当前能想到的主流攻击面。
同时，系统还会自动过滤掉一些低影响或容易误报的问题，比如DoS漏洞、速率限制问题、内存/CPU耗尽问题等。毕竟不是所有看起来“不太对”的东西都需要人盯着看。
目前这套系统还支持自定义扫描配置和false positive过滤指令，项目架构如下：
github_action_audit.py- GitHub Actions的主审计脚本prompts.py- 安全审计提示模板findings_filter.py- False positive过滤逻辑claude_api_client.py- 用于false positive过滤的Claude API客户端
消息一出，圈子里炸了锅。
Eden Marco（@EdenEmarco177）调侃道：“这太他妈棒了。不过你刚刚干掉了10家安全创业公司？”
sky（@skydotcs）则评论：“网络安全现在已经无关紧要了。”
Zerion（@heyalok_）大胆预测：“裁员很快就会发生了。”
这次，Claude Code是真的要来帮你保住底裤了。
值得强调的是——真的要去用。不要觉得岁月静好，就真的安全无忧。
不过，话说回来，美中不足的是，到现在我还是会亲手定义几乎所有数据库表的核心字段。这也是我对AI最不放心的地方：性能。
所以，什么时候来帮我解决性能这个问题呢？
参考：
[1] Claude Code Security Review GitHub仓库: https://github.com/anthropics/claude-code-security-review
[2] Claude Code Hooks高级玩法: https://github.com/disler/claude-code-hooks-mastery
[3] 官方文档：自动化安全审查配置指南: https://github.com/anthropics/claude-code-security-review#quick-start