案例 23 · 全自动化 CI/CD 漏洞扫描与 PR 自动修复机器人

【关键工具】 GitHub Actions + Claude API

【70% Vibe】

每次有人提交代码，机器人自动跑一遍安全扫描，一旦发现 SQL 注入之类的漏洞，自动开一个已经把代码修好的 PR（Pull Request） 等你确认合并。这相当于给你的项目配了一个 24 小时在岗的安全工程师。CI/CD 流程用 GitHub Actions 编排，修复逻辑调用 Claude API。

【30% Engineering】

让一个 AI"自动改你的生产代码"，是一件强大但危险的事，30% 全是关于"如何信任它而不被它坑"。

第一是避免"幻觉代码"引入新 bug。AI 在修复一个漏洞时，可能"想当然"地改动了相关逻辑，结果旧漏洞补上了、新 bug 又埋下了。所以这个机器人的设计绝不能"自动合并"，而必须"自动开 PR、人工确认"——把 AI 定位为"提建议的助手"而非"最终决策者"。这个流程设计本身，就是最重要的 30%。

第二是 GitHub Token 权限的最小化。这个机器人手握能修改代码、开 PR 的令牌，权限相当大。一旦这个令牌泄露或被滥用，攻击者就能借机往你的代码库里塞东西、甚至提权。把令牌权限压到"刚好够开 PR、绝不更多"，是防止"安全机器人"本身变成"安全漏洞"的关键。