别再被SAST误报折腾了：Sentry团队的安全审查Skill怎么做到”只报真漏洞”
不是那种扫出来 200 个「潜在风险」结果有一半是误报、然后你关掉不看了的扫描。是真的帮你找到：攻击者能实际利用的漏洞。
今天介绍一个来自 Sentry 团队的开源 Skill——security-review，就是干这个的。
普通 SAST 扫描和它的差别在哪？
传统静态安全扫描是规则匹配：「这里有 SQL 查询 → 报 SQL 注入」。不管你用的是参数化查询还是拼接字符串，一律标红。
security-review 不一样。它做的是数据流追踪（Data Flow Tracing）：
第一步，找输入——请求参数、Header、Body、URL 组件，到底哪些是攻击者能控制的？
第二步，追踪路径——这个输入经过哪些验证？走了哪些函数？有没有地方绕过了清洗？
第三步，结合框架上下文判断——Django 有 CSRF middleware，Express 有 Helmet，Spring 有哪些默认保护？这些决定了同一个「可疑写法」到底是不是真的漏洞。
只有当攻击者真的能控制输入、绕过所有防护、到达漏洞点，才报 HIGH 级发现。Medium 级会标注「需要人工确认」，不会拿一堆噪音浪费你时间。
覆盖范围：OWASP Top 10 + 框架上下文
语言层面覆盖 Python（Django/Flask/FastAPI）、JavaScript（Node/Express/React）、Go、Rust、Java。基础设施层面覆盖 Docker、Kubernetes、Terraform、CI/CD。
常见漏洞类型全部在检查清单里：注入（SQL/命令/模板）、XSS、认证绕过、IDOR、CSRF、竞态条件、会话安全、密码学误用、信息泄露、DoS 资源耗尽，以及业务逻辑漏洞（数值溢出、状态机违规）。
每次审查还会区分攻击者控制的数据和服务器端控制的数据——这个区别是判断「这是不是真漏洞」的核心，但大多数扫描工具完全忽略。
安装方式（一条命令）
npx skills add https://github.com/getsentry/skills --skill security-review
Claude Code 会自动在 ~/.claude/skills/security-review/ 里找到 SKILL.md，之后遇到代码审查任务就自动激活。
触发方式也很简单，直接说：
「帮我 review 这个 PR 的安全问题」
「对 auth.py 跑一遍安全检查」
「/security-review」
不用记命令、不用配规则，天然融入日常工作流。
为什么开发者值得装
GitHub 上这个 Skill 仓库累计 979 ⭐（Sentry 团队维护，更新很勤），skills.sh 统计全平台累计安装 15,411 次。
它的价值总结成一句话：不制造焦虑，只报真实漏洞。
开源地址：https://github.com/getsentry/skills
评论区
登录后可评论。