cm-security

# cm-security — 代码安全扫描与业务复核 先读 `../../runtime/project-context.md`、`../../runtime/logging.md` 和 [执行合同](references/scan-contract.md)。 本 Skill 是独立只读安全入口；不改变 cm-test、任务完成门禁或发布授权。 Codex 用 `$cm-security`，Claude Code 用 `/cm-security`；macOS/Linux 兼容 `/cm:security`。 ## 用法 ```text $cm-security $cm-security {项目路径} $cm-security {项目路径} --all $cm-security {项目路径} --semgrep-rules {已审查的外部本地规则文件} $cm-security {项目路径} --osv-db {外部离线数据库缓存目录} ``` ## 执行 1. 省略项目时解析当前 Git 仓库根。显式路径也定位到该仓库根；无 Git/HEAD、主分支缺失或有歧义时停止并说明，不猜基准，不自动 fetch。`--all` 不要求主分支，但仍要求 Git/HEAD。 2. 先确认地图在 Git index 中为普通已跟踪文件，再加载业务地图，只读核对受影响的入口、调用方、权限与数据流。地图缺失、���旧或失真时，从相关代码补足本次分析，标明缺口；不自动全仓重建或更新地图。 3. 从当前 Skill 位置解析 `{CM_WORKFLOW_ROOT}`，逐项传参数，禁止拼接用户文本为 shell 命令： ```bash node "{CM_WORKFLOW_ROOT}/scripts/cm-security.mjs" --project "{项目根}" {已解析的可选参数} ``` 4. 将扫描 JSON 原样保存在项目外本次私有目录的普通文件中，保留范围、digest、工具状态、遗漏和 findings。退出码 1 表示发现候选问题，3 表示检查仍不完整，均需继续上下文复核；2 表示阻断，只汇报阻断原因。0 可能是 NO_CHANGES，不是安全认证。 5. 对 selected 中每个路径做轻量 AI 复核。先看改动及调用链，再看扫描候选；只加载相关代码，禁止默认加载整套外部审计 Skill。命中或触及鉴权、支付、跨租户、命令/文件/网络边界时，沿该路径深入。 6. 逐项核验输入是否可控、现有防护是否有效、受影响业务及复现条件。分别检查工作区与不同的暂存版本；删除或改名必须结合基准版本和调用方，不能只看剩余文件。引用 `revision + 文件:行号`。 7. 对越权、注入、路径穿越、SSRF、敏感信息暴露、依赖漏洞给出有证据的判断。工具输出只算候选；没有测试或一般最佳实践不足以认定漏洞。无需主动执行 PoC、项目脚本、安装依赖或访问业务服务。 8. 按[复核 JSON 合同](references/scan-contract.md#finalize-报告门禁)生成逐路径复核结果，写入项目外普通文件；不得传入 result、coverage 或 aiReview。必须调用以下命令；它内部重跑 inventory 核对复核窗口漂移，保留扫描窗口证据，机械核对漏报与覆盖率： ```bash node "{CM_WORKFLOW_ROOT}/scripts/cm-security.mjs" --project "{项目根}" --fin...