# .NET 代码安全审计平台
项目地址：https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform
[](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#net-%E4%BB%A3%E7%A0%81%E5%AE%89%E5%85%A8%E5%AE%A1%E8%AE%A1%E5%B9%B3%E5%8F%B0)

> 把已有的 38 个 .NET 审计 Skill,从单点 CLI 工具升级为团队级 Web 平台。 基于 [`@openai/agents`](https://www.npmjs.com/package/@openai/agents) 自托管,完全脱离 Copilot CLI / IDE 插件。

[![node](https://camo.githubusercontent.com/f90ede1e5e28e214161d7eb89356b50839576c79695b21a4023d6e985a0d156b/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f6e6f64652d25453225383925413532302532304c54532d3333393933333f6c6f676f3d6e6f64652e6a73266c6f676f436f6c6f723d7768697465)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E5%BF%AB%E9%80%9F%E5%90%AF%E5%8A%A8) [![tests](https://camo.githubusercontent.com/946bc96ed2baa8a2b845354e0b7b10e9f9bdced8959d1f4d986f9f4a92519548/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f74657374732d3435342532307061737365642d3463313f6c6f676f3d766974657374266c6f676f436f6c6f723d7768697465)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E6%B5%8B%E8%AF%95%E4%B8%8E%E8%B4%A8%E9%87%8F%E9%97%A8%E7%A6%81) [![coverage api](https://camo.githubusercontent.com/123c96b5d1fc1fae6fd3af177bd5c6e53a8ac0504db3ca0c3a3fa0575f6b7261/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f617069253230636f7665726167652d38302e31382532352d627269676874677265656e)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E6%B5%8B%E8%AF%95%E4%B8%8E%E8%B4%A8%E9%87%8F%E9%97%A8%E7%A6%81) [![coverage shared/web](https://camo.githubusercontent.com/df2eaf79ebb7a716d3a5702e07de4cc4bc702a52f9b94eb26bdfe15d022d890e/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f736861726564253246776562253230636f7665726167652d3130302532352d627269676874677265656e)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E6%B5%8B%E8%AF%95%E4%B8%8E%E8%B4%A8%E9%87%8F%E9%97%A8%E7%A6%81) [![ci](https://camo.githubusercontent.com/26a33e481fcddde0bc225005f8aab8cfd6dc3af198dfd39d0b3a9191c32b1aa0/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f43492d476974487562253230416374696f6e732d3230383846463f6c6f676f3d6769746875622d616374696f6e73266c6f676f436f6c6f723d7768697465)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform/blob/main/.github/workflows/ci.yml) [![license](https://camo.githubusercontent.com/a3c1218aca055e8cd23e23fbaa0a8eb4b8b0fcbb6886e6fae54ad7604872a083/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f6c6963656e73652d496e7465726e616c2d6c6967687467726579)](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E8%AE%B8%E5%8F%AF%E8%AF%81)

[English Version](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform/blob/main/README.en.md)

* * *

## 🏗️ 项目简介

[](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#%EF%B8%8F-%E9%A1%B9%E7%9B%AE%E7%AE%80%E4%BB%8B)

`.NET` 代码安全审计平台是一套**自托管的白盒代码审计 Web 平台**:用户在浏览器里上传 `.NET` 源码 zip,后端用 OpenAI Agents SDK 加载本地 `./dotnet-security-audit-skill/`(上游开源 .NET 审计 Skill 集合,clone 自 [`ZMR0zhangmouren/dotnet-security-audit-skill`](https://github.com/ZMR0zhangmouren/dotnet-security-audit-skill))的 38 个审计 Skill(基础设施 6 + 框架专项 9 + 漏洞专项 31 + shared 规范 9),按"先分后合"两阶段策略产出可读、可分派、可追踪的漏洞库与报告。

*   **🎯 核心目标** —— 把子仓库已有的"审计编排者"**可被 Web 多人协作、被持久化、被审计**,而不是另起一套编排(Q17 硬约束)
*   **🚫 非目标** —— 不替换/不修改 `./dotnet-security-audit-skill/`(上游开源项目,由 [`ZMR0zhangmouren/dotnet-security-audit-skill`](https://github.com/ZMR0zhangmouren/dotnet-security-audit-skill) 维护,平台通过 `SkillBundleVersion` 锁定其 commit);不让 Agent 自主修改源码;不脱离 `@openai/agents`(Q14 锁定)

| #  | 能力                | 说明                                                                                                |
|----|-------------------|---------------------------------------------------------------------------------------------------|
| 1  | 多端点接入             | zip 上传 / from-git(HTTPS + SSH + 8 类错误分类)/ from-github(REST tarball + 凭证优先级 env > git_credentials) |
| 2  | 真实并发扫描            | BullMQ + Redis,默认并发 2,可配 1–10;崩溃可恢复 + Bull-Board 可视化                                              |
| 3  | 漏洞库 + 实例双层        | VulnLibraryEntry 聚合根因,Vulnerability 记录实例;跨 ScanRun 自动去重                                           |
| 4  | 多 ScanRun 对比      | GET /api/projects/:id/scans/diff?a=&b= 返回完整 ScanDiff                                              |
| 5  | 真 JWT + 角色守卫      | JwtStrategy + JwtAuthGuard + RolesGuard + @Roles('admin') 拦截写端点                                   |
| 6  | 多 Skill Bundle 并存 | setDefault 事务原子;replay-with-latest 用最新 Skill 重跑旧 ScanRun                                          |
| 7  | 报告 Markdown 渲染    | react-markdown + remark-gfm + rehype-highlight + 章节导航                                             |
| 8  | Agent Trace 全链路追踪 | agent_traces 表 + /api/scan-runs/:id/trace + Timeline 页面                                           |
| 9  | 覆盖率门禁             | @vitest/coverage-v8 + shared/web 100% / api 80.18% 阈值启用                                           |
| 10 | Docker 化部署        | apps/api + apps/web 多阶段构建 + docker-compose.yml 3 服务                                               |
## 路线图

[](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#%EF%B8%8F-%E8%B7%AF%E7%BA%BF%E5%9B%BE)

### ✅ 已落地(本仓库当前状态)

[](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E5%B7%B2%E8%90%BD%E5%9C%B0%E6%9C%AC%E4%BB%93%E5%BA%93%E5%BD%93%E5%89%8D%E7%8A%B6%E6%80%81)

*   ✅ 多 Skill Bundle 并存 + `replay-with-latest`(§11 Q7)
*   ✅ 真接 `from-git`(HTTPS token + SSH key + 8 类错误分类)
*   ✅ 真接 `from-github`(REST tarball + 凭证优先级 env > git\_credentials)
*   ✅ BullMQ + Redis + Bull-Board 可视化
*   ✅ 真 JWT 解码 + AdminGuard + `@Roles('admin')` 拦截写端点
*   ✅ Agent Trace 全链路追踪(`agent_traces` 表 + 端点 + Timeline 页面)
*   ✅ 多 ScanRun 对比 + 报告 Markdown 渲染 + 章节导航
*   ✅ Vitest coverage v8 provider + 阈值强制门禁
*   ✅ Phase 4 Docker 化部署(多阶段 + compose)
*   ✅ refresh-token + HttpOnly Cookie + 旋转/吊销
*   ✅ Phase 3 漏洞趋势图(VulnLibrary 按时间聚合)

### 📋 待办候选

[](https://github.com/ZMR0zhangmouren/DOT.NET-Code-Security-Audit-Platform#-%E5%BE%85%E5%8A%9E%E5%80%99%E9%80%89)

*   Phase 2 e2e:web 端 React Testing Library 覆盖 `pages/` 12 个页面
*   真 git clone e2e:用公开 repo + 真凭证实测
*   Skill 升级自动跑一遍重扫(CI hook)
*   远程备份:用户配置 git remote URL 后 `git push`

.NET代码安全审计Skill