메뉴
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/Nox-Lumen-tech/combo-skills --skill spotbugs명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
本地 agent 的 ragbase 远程客户端：直接查云端知识库（语义检索 / 列文档 / 翻 chunk）、嫁接已有 session 的执行成果，以及向已有 session 派发任务（dispatch）。
L1 本地静态分析。调用 Checkstyle/PMD/SpotBugs/Detekt/Ruff/Bandit/Semgrep/cppcheck/clang-tidy 等工具链对代码做客观检测，输出 CodeEvidence JSON。支持 git diff、指定路径、--all 全量扫描三档。 触发词：静态分析、lint、跑检查工具、scan code、全量扫描、run linter、检查代码规范、安全扫描、跑 semgrep、检查漏洞、从头审、全分支审。 不触发：当用户说"review this PR"/"review before merge"/"is this safe?"时，走 code-review skill（LLM 主观审查）。 适用：需要对照需求文档/知识库的深度审核 → 先本地 L1 全量出 CodeEvidence → 上传云端 L2（详见 references/cloud-api-reference.md 的 "全量 + L2 组合"）。 与 code-review 的关系：code-review = LLM 主观评审（含 diff/全分支三种场景），static-analysis = 工具客观检测（需安装工具）。两者互补，可串联使用。
企业级代码审核核心。对照需求文档/设计文档/编码规范/Bug 历史做 L2 理解性审核。 不做静态检查（那是各语言 Skill D1-D10 的事），只做需要 LLM + 知识库才能做到的深度审核。
SOC 직업 분류 기준
SKILL.md 표시 중
| name | spotbugs |
| description | Java 字节码级 Bug 检测 + FindSecBugs 安全扫描，检测空指针/资源泄漏/并发/OWASP |
| execution_mode | sandbox |
| metadata | {"language":"java","plugins":["findsecbugs"],"upstream":{"repo":"https://github.com/spotbugs/spotbugs","stars":3850,"findsecbugs_repo":"https://github.com/find-sec-bugs/find-sec-bugs","findsecbugs_stars":2400,"since":"2016 (FindBugs 传承自 2003)","license":"LGPL-2.1","latest":"4.9.8 (2025-10)","rules":"400+ core + 150+ security (FindSecBugs)","maven_downloads":"~600K/月","contributors":"200 + 70 (FindSecBugs)","notable_users":["Netflix","Atlassian","GitLab","Liferay"],"integrations":["Maven","Gradle","IntelliJ","Eclipse","SonarQube","MegaLinter"]},"rating":{"community":"3.5/5","rules_richness":"5/5","speed":"3/5","accuracy":"4.5/5","integration":"4/5","overall":"4.0/5 ⭐⭐⭐⭐"}} |
| 检查范围 | 对应需求原文 | SpotBugs 类别 |
|---|---|---|
| 空指针风险 | "空指针风险" | NP_NULL_ON_SOME_PATH, NP_DEREFERENCE_OF_READLINE_VALUE |
| 资源未释放 | "资源未释放" | OS_OPEN_STREAM, ODR_OPEN_DATABASE_RESOURCE |
| 并发问题 | 逻辑漏洞 | IS2_INCONSISTENT_SYNC, DC_DOUBLECHECK |
| SQL 注入 | "SQL注入" | FindSecBugs: SQL_INJECTION, SQL_INJECTION_JDBC |
| XSS | "XSS攻击" | FindSecBugs: XSS_REQUEST_WRAPPER, XSS_SERVLET |
| 硬编码密钥 | "敏感信息泄露" | FindSecBugs: HARD_CODE_PASSWORD, HARD_CODE_KEY |
CLI: spotbugs -textui -xml:withMessages -pluginList findsecbugs.jar -effort:max build/classes/
前提: 需先编译（mvn compile / gradle build）
桥接: violations-command-line PARSER=FINDBUGS → SARIF → reviewdog
Maven: com.github.spotbugs:spotbugs-maven-plugin + FindSecBugs find-sec-bugs/find-sec-bugs