# Java Audit

> Java 项目静态安全审计技能。基于 codeaudit Go 原生工具链：先 java_project_probe 识别构建系统、 框架与 CMS，再按推荐列表调用依赖 SCA、硬编码密钥、框架配置审计、CMS 专项规则。 支持 Maven/Gradle 单体与 monorepo（如 RuoYi-Cloud）、scope-modules 模块过滤、 detection-mode strict/balanced 控制误报。

- Skill: `yaklang/java-audit` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add yaklang/java-audit`
- Raw SKILL.md: https://api.skillmd.com/api/skills/yaklang/java-audit/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: DevOps & Infra
- Author: yaklang (https://skillmd.com/u/yaklang)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/yaklang/java-audit

---


# Java 静态安全审计 (java-audit)

使用 codeaudit Go 原生 AI 工具对 Java 项目进行确定性静态审计。
所有工具输出 JSON 报告（含 findings、artifacts、meta.files_scanned）。工具集前缀 java_audit/*。

**执行类任务**：加载本技能后必须调用工具并汇总 findings，不能只描述计划。

---

## 1. 标准流程

1. `java_project_probe` → 识别 build/framework/CMS，读取 recommended_tools
2. `java_maven_gradle_dependencies` → SCA 与 risky 组件
3. `java_hardcoded_secrets_scan` → 硬编码密钥/凭据
4. `java_cms_product_audit` → 若 probe 检测到 CMS
5. probe 推荐的 `java_framework_arch_info` / `java_framework_config_audit` → 按 framework 参数逐项执行
6. 汇总报告（按 severity 排序，附 file/line/evidence）

## 2. 工具注册表

### 2.1 入口与通用
| 工具名 | 用途 |
|--------|------|
| java_project_probe | 框架/CMS 探测，输出 recommended_tools |
| java_maven_gradle_dependencies | Maven/Gradle 依赖与 risky 组件 |
| java_hardcoded_secrets_scan | 硬编码密码/secret/token/JDBC |
| java_cms_product_audit | RuoYi/MCMS/Halo 等产品专项规则 |

### 2.2 框架工具（通过 framework 参数区分）
| 工具名 | 参数 | 用途 |
|--------|------|------|
| java_framework_arch_info | framework=spring_boot | Spring Boot 架构基线 |
| java_framework_config_audit | framework=spring_boot | Spring Boot 配置审计 |
| java_framework_arch_info | framework=shiro | Shiro 架构基线 |
| java_framework_config_audit | framework=shiro | Shiro 配置审计 |
| ... | ... | (支持 12 种框架) |

### 2.3 支持的框架
spring_boot, spring_cloud, spring_security, servlet, mybatis, shiro, struts2, jpa, dubbo, jfinal, vertx, play

## 3. 通用参数
| 参数 | 说明 | 推荐值 |
|------|------|--------|
| target | Java 项目根目录绝对路径 | 必填 |
| detection-mode | permissive / balanced / strict | 默认 balanced |
| scope-modules | 逗号分隔子模块目录名 | monorepo 必配 |
| framework | 框架名 | arch_info/config_audit 必填 |

## 4. 报告格式
每条 finding 包含 id、severity、title、recommendation、evidence[]。
检查 meta.files_scanned：0 表示 scope 配置错误。