heal

4. heal（heal）

产品简介

heal 由法务主体 MYIA SAS 运营，是一款专注做质量 assurance 的工具，而不是通用型编码智能体。它的思路很直接：代码评审读的是 diff，看不到未改动的代码、配置、数据与第三方服务之间的组合缺陷；而 heal 直接把产品跑起来——读取代码绘制架构、搭出一个接近生产的本地沙箱、在沙箱里执行端到端测试，只把能被测试稳定复现的问题提交为缺陷。它不报告一个漂亮的覆盖率百分比，而是追踪真实存在的 bug 与真实缺失的覆盖，并给每个缺陷配上一条能证明它的失败测试。

核心功能

1. 架构测绘：读取代码并梳理出功能与页面对应关系，例如识别出 checkout、billing、search、onboarding、account、admin 等六个功能及其 29 个界面，定位到具体文件与行号。
2. 生产级沙箱：Web 应用、API 与 Postgres 测试数据保持真实，Stripe 使用本地模拟器，Slack 既可走实时 API 也可切到 Mock，让支付、邮件与第三方调用在沙箱里真正跑起来。
3. 缺陷发现与验证：像评审员一样对代码提出怀疑，再逐条在沙箱中执行；测试连续失败两次、且由 heal 自行重跑再次失败才会立案，复现不了的问题一律不提交。
4. 运行时安全检测：以两个用户身份登录沙箱并真实发起利用，只上报能被复现的运行时漏洞，而不是仅匹配代码特征。
5. 边缘场景与异常路径：在「世界坏掉」的条件下重走每条流程，捕获请求失败、响应变慢、字段缺失，以及服务器报错却仍显示「这里什么都没有」这类静默错误。
6. 全覆盖巡检：遍历运行中应用的每一个链接，找出无人命名的死链、加载失败的资源与遗漏的路由。
7. 配套安全工具链：集成 schemathesis、ZAP、dalfox、jwt_tool、nuclei、semgrep、trufflehog、sqlmap 等多个扫描器，在同一沙箱中协同工作。
8. 可交付的缺陷单：每个缺陷都写清预期、实际、用户类型、严重程度、失败所在的界面与代码位置，并附上复现步骤、录屏与失败测试；修复后该测试由红转绿。
9. 智能体闭环：可在终端里让 Claude Code 执行「修复第 41 号缺陷并标记为已修复」，直接产出代码 diff 与通过的 Playwright 测试。

特色优势

heal 与代码评审机器人的核心差异在于「它看的是运行中的产品，而不是某一次提交的差异」，并且用可复现的失败测试来为每一条结论背书——复现不了就不立案。平台对四类典型盲区给出明确回应：边界场景、在预发环境被关闭的服务、静态扫描无法确认可利用性的运行时安全问题，以及无人测试的缺失路由。在公开基准中，heal 在 174 个 Pull Request 上与四家代码评审机器人正面比较；官网还公开展示了在真实开源仓库上的运行结果：Windmill 259 个缺陷、Infisical 307 个、Cal.com 197 个、Strapi 127 个、Odoo 165 个、Twenty 83 个、Formance Payments 89 个、NVIDIA NeMo 平台 41 个。

应用场景

• 每周或发版前对整个产品跑一轮，而不是只看单个 PR 的差异；
• 在预发环境缺少服务、数据或集成、无法真正测试时，用本地沙箱补上可测环境；
• 支付、邮件与第三方 API 在预发被关掉时，仍需验证依赖它们的业务流程；
• 验证安全扫描器报出的模式在真实运行中是否可达、可利用；
• 为智能体修复缺陷提供一份「有失败测试、可复现」的作业单。

适用人群

重视上线质量与运行时安全的研发团队与 QA 团队；维护复杂 SaaS 的工程团队；正在用 AI 批量生成代码、需要独立验证手段的团队；以及希望对开源项目做质量体检的开发者。

出品方

heal 的法务主体为 MYIA SAS，官网标注 © 2026 MYIA SAS，已通过 SOC 2 认证，信任中心位于 trust.heal.dev，官方在 X 与 LinkedIn 上以 @healdevHQ 名义运营。

更新动态

近期在 Product Hunt 上线，并同步公布了与四家 AI 代码评审机器人的对比基准（基于 174 个 Pull Request）。官网展示了在 Twenty、Formance、NVIDIA NeMo、Windmill、Odoo、Infisical、Cal.com 与 Strapi 上的公开沙箱，可直接查看每个仓库的架构测绘与缺陷清单。产品提供免费试用且无需信用卡，并面向开源项目提供免费额度。

官网链接

官网：https://www.heal.dev ｜ 对比基准：https://www.heal.dev/benchmark ｜ 信任中心：https://trust.heal.dev