Aletheore Skill 技能

Aletheore 是一款基于确定性扫描（tree-sitter + git log）的代码仓库智能审计工具，无需调用 LLM 即可对代码仓库进行全方位质量评估，并将结果输出为结构化 JSON 文件（.aletheore/air.json）。该 JSON 作为底层证据层，上层构建了 AI 审计报告、GitHub Action PR 评注、MCP 服务器和可视化仪表盘，所有内容均可溯源至 air.json 中的具体字段，真正实现每一句话都有证据支撑。

Aletheore 同时附带 MCP 服务器，可直接接入 Claude Code、Cursor、VS Code 等主流 AI 编程工具，让 AI 在代码审查时拥有精确的仓库上下文理解能力，而非依赖模糊的记忆或猜测。

核心能力

• 多语言依赖图分析：支持 Python、JavaScript/TypeScript、Go、Rust、Java、Kotlin、Ruby、PHP、C/C++、C#、Swift 等 14 种语言的模块依赖关系解析，自动检测分层规范违规
• 确定性 secrets 扫描：无需 LLM，基于正则和语法树扫描代码仓库中的硬编码密钥、Token、凭据，零误报
• Git 提交活动分析：提取每个文件的最后修改时间、提交作者和频率，量化代码所有权和活跃度
• 依赖漏洞与许可证检查：对接主流漏洞数据库（PyPI/npm/go.mod 等），自动报告依赖的安全风险和许可证合规问题
• 静态 API 端点映射：无需运行代码，解析源代码中的路由/端点定义，生成 API 清单
• MCP 服务器集成：提供 MCP 接口，AI 编程工具可通过 aletheore scan 的结构化结果直接检索仓库信息

安装配置

方式一（推荐）：pipx install aletheore 方式二：pip install aletheore 方式三：uvx aletheore（免安装）

MCP 接入：Claude Code 等工具可在 mcpServers 配置中添加 aletheore，command 指定为 uvx，args 为 [aletheore]。

使用步骤

1. 安装或直接运行（pipx / pip / uvx 任选其一）
2. 执行仓库扫描：aletheore scan .，结果写入 .aletheore/air.json
3. 查看结构化证据：cat .aletheore/air.json
4. 生成 AI 审计报告（可选）：aletheore audit .，基于 air.json 证据由 LLM 生成可读评审意见

适用场景

• 代码审查工作流：PR 阶段接入 CI，AI 工具基于真实依赖图和 secrets 扫描结果给出评审意见
• 技术债务评估：量化各模块的提交频率、维护者活跃度和分层规范合规性
• 安全合规审计：扫描硬编码密钥、高风险依赖和许可证冲突
• AI 编程工具上下文增强：为 Claude Code、Cursor 等工具提供精确的仓库结构理解

适用人群

安全工程师、DevSecOps 从业者、技术负责人、AI 编程工具重度用户、CI/CD 流程维护者。

工作原理

确定性证据收集分为三个阶段：

1. 扫描阶段：使用 tree-sitter 语法解析器对仓库中每种支持的语言进行 AST 解析，结合 git log 提取提交元数据，生成统一的 air.json（不调用 LLM）。
2. 分析阶段：基于 air.json 执行 secrets 检测、漏洞查询、许可证检查和分层规范验证，每条发现均标注来源字段。
3. 呈现阶段：通过 CLI 报告、AI 审计报告、MCP 工具接口或 Web 仪表盘等多形式呈现结果。

官方链接

• PyPI：https://pypi.org/project/aletheore/
• GitHub：https://github.com/Aletheore/Aletheore