Menu
Le prompt qui vérifie d'abord la source est sélectionné par défaut. Vous pouvez passer à une commande directe ou télécharger une copie locale.
Lisez SKILL.md et les fichiers associés affichés par SkillsMP avant de décider de l'installer.
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Une commande directe contourne le prompt de vérification. Examinez la source avant de l'exécuter.
npx skills add https://github.com/Nox-Lumen-tech/combo-skills --skill spotbugsLa commande reste sur une seule ligne. Faites défiler horizontalement pour la vérifier avant de la copier.
Vous préférez une copie locale ? Téléchargez les fichiers actuellement disponibles dans SkillsMP.
本地 agent 的 ragbase 远程客户端：直接查云端知识库（语义检索 / 列文档 / 翻 chunk）、嫁接已有 session 的执行成果，以及向已有 session 派发任务（dispatch）。
L1 本地静态分析。调用 Checkstyle/PMD/SpotBugs/Detekt/Ruff/Bandit/Semgrep/cppcheck/clang-tidy 等工具链对代码做客观检测，输出 CodeEvidence JSON。支持 git diff、指定路径、--all 全量扫描三档。 触发词：静态分析、lint、跑检查工具、scan code、全量扫描、run linter、检查代码规范、安全扫描、跑 semgrep、检查漏洞、从头审、全分支审。 不触发：当用户说"review this PR"/"review before merge"/"is this safe?"时，走 code-review skill（LLM 主观审查）。 适用：需要对照需求文档/知识库的深度审核 → 先本地 L1 全量出 CodeEvidence → 上传云端 L2（详见 references/cloud-api-reference.md 的 "全量 + L2 组合"）。 与 code-review 的关系：code-review = LLM 主观评审（含 diff/全分支三种场景），static-analysis = 工具客观检测（需安装工具）。两者互补，可串联使用。
企业级代码审核核心。对照需求文档/设计文档/编码规范/Bug 历史做 L2 理解性审核。 不做静态检查（那是各语言 Skill D1-D10 的事），只做需要 LLM + 知识库才能做到的深度审核。
Basé sur la classification professionnelle SOC
Affichage de SKILL.md
| name | spotbugs |
| description | Java 字节码级 Bug 检测 + FindSecBugs 安全扫描，检测空指针/资源泄漏/并发/OWASP |
| execution_mode | sandbox |
| metadata | {"language":"java","plugins":["findsecbugs"],"upstream":{"repo":"https://github.com/spotbugs/spotbugs","stars":3850,"findsecbugs_repo":"https://github.com/find-sec-bugs/find-sec-bugs","findsecbugs_stars":2400,"since":"2016 (FindBugs 传承自 2003)","license":"LGPL-2.1","latest":"4.9.8 (2025-10)","rules":"400+ core + 150+ security (FindSecBugs)","maven_downloads":"~600K/月","contributors":"200 + 70 (FindSecBugs)","notable_users":["Netflix","Atlassian","GitLab","Liferay"],"integrations":["Maven","Gradle","IntelliJ","Eclipse","SonarQube","MegaLinter"]},"rating":{"community":"3.5/5","rules_richness":"5/5","speed":"3/5","accuracy":"4.5/5","integration":"4/5","overall":"4.0/5 ⭐⭐⭐⭐"}} |
| 检查范围 | 对应需求原文 | SpotBugs 类别 |
|---|---|---|
| 空指针风险 | "空指针风险" | NP_NULL_ON_SOME_PATH, NP_DEREFERENCE_OF_READLINE_VALUE |
| 资源未释放 | "资源未释放" | OS_OPEN_STREAM, ODR_OPEN_DATABASE_RESOURCE |
| 并发问题 | 逻辑漏洞 | IS2_INCONSISTENT_SYNC, DC_DOUBLECHECK |
| SQL 注入 | "SQL注入" | FindSecBugs: SQL_INJECTION, SQL_INJECTION_JDBC |
| XSS | "XSS攻击" | FindSecBugs: XSS_REQUEST_WRAPPER, XSS_SERVLET |
| 硬编码密钥 | "敏感信息泄露" | FindSecBugs: HARD_CODE_PASSWORD, HARD_CODE_KEY |
CLI: spotbugs -textui -xml:withMessages -pluginList findsecbugs.jar -effort:max build/classes/
前提: 需先编译（mvn compile / gradle build）
桥接: violations-command-line PARSER=FINDBUGS → SARIF → reviewdog
Maven: com.github.spotbugs:spotbugs-maven-plugin + FindSecBugs find-sec-bugs/find-sec-bugs