[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$f31rvi6bcjr0b":3},{"code":4,"message":5,"data":6,"timestamp":26},10000,"success",{"full_name":7,"position":8,"description":9,"language":10,"stars":11,"forks":12,"stars_gained":13,"age_days":14,"hn_threads":15,"one_liner":16,"summary_md":17,"topic":18,"github_topics":21,"license":22,"homepage":23,"updated_at":24,"history":25},"Ernket\u002FCodeScan-Artex",20,"二开artex的代码审计平台 | 新增本地反编译java依赖库 | 多账号管理","Go",181,95,17,10,[],"把代码仓库拆成多个 LLM Agent 并行审计、输出带行号证据的静态审计平台，适合自建。","这是一个自建的静态代码审计平台：把一个仓库拆成可并行的审计意图，交给多个 LLM Agent 只读源码，最后产出接口清单、权限要求和带 `文件:行号` 的结论。它适合已经能提供 LLM API Key、又不想只看规则命中的团队，但它不是开箱即用的扫描器，需要数据库和模型接入。\n\n## 解决什么问题\n你想在审计仓库时得到一份对外接口清单，知道每个接口需要什么权限，并判断某个参数有没有经过校验、最终是否到达危险调用点。传统做法是跑一遍规则扫描，再逐条打开文件、顺着数据流人工核对，过程重复且容易漏。这个平台把「读完整条数据流」这一步交给 Agent 分工完成，输出接口清单、权限要求、缺陷结论和依赖可达性判断，每条结论都附带代码片段和行号；之后还会用独立会话复核，把结论以三态写回漏洞状态。\n\n## 有什么不同\n关键机制是只读的 Agent 工具集。平台只用 7 个本地文件工具（Read、Write、Edit、MultiEdit、LS、Glob、Grep）构造 Agent，没有 Bash、WebFetch、WebSearch 或 MCP；装配层不注入这些来源，最后还有按名字剔除的黑名单兜底。写入类工具另有一套拦截规则，对被测源码目录、工作区外路径和 URL 分别拒绝或转人工。这样做的实际好处是结论必须落在源码证据上，每次工具调用都能在探索图里回看。代价是范围很窄：不发起网络请求、不执行命令、不做运行时验证，所以它无法通过实际利用来确认漏洞，也无法审计依赖线上服务行为的系统。拦截规则是策略过滤，不等于保证被测代码不会被改动，你仍需自己保护审计对象的完整性。\n\n## 谁值得试\n适合：审计自己拥有或已获书面授权的代码、想要接口权限清单和数据流证据、并且能提供 LLM Key 的安全工程师或开发者。不适合：需要不接模型也能跑的扫描器，或想要通过实际利用确认漏洞的人。README 给出的部署方式只有安装脚本（全 Docker 或本地编译），依赖 PostgreSQL 和 `ANTHROPIC_API_KEY` 或 `OPENAI_API_KEY`；另有离线 mock 前端 Demo，但它用的是内置演示数据，只能看界面，不能验证分析效果。\n\n## 使用条件与边界\n硬性条件是 PostgreSQL 和 LLM API Key，Docker 与本地编译两条路都有文档，首次访问 `\u002Fsetup` 设置管理员密码。更新要单独考虑：页面一键更新会重启程序并中断正在运行的任务；Docker 下只替换程序、不替换镜像里的反编译工具链，要连镜像升级得另外执行 `docker compose pull`。数据库迁移在重启时自动执行，但 README 明确说回滚到上一版本二进制不会回滚数据库结构。平台只做静态分析，需要执行目标或观察流量的场景不在范围内。许可证是 AGPL-3.0，若计划分发或对外提供服务需要留意。\n\n## HotRepo 点评\nHotRepo 从 2026-10-24 开始记录这个仓库，2026-10-25 的新项目榜记录为 181 总星、#20；这只是快照，不是增长序列，因此还不能判断热度能否持续。投入安装时间前，建议先看[项目说明](https:\u002F\u002Fgithub.com\u002FErnket\u002FCodeScan-Artex\u002Fblob\u002Fmain\u002FREADME.md)，确认本地编译和 Docker 两条路中哪条匹配你能长期维护的工具链。",{"slug":19,"name":20},"security","安全",[],"AGPL-3.0",null,"2026-10-25T03:17:25Z",[],1792909423]