Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
claude-audit는 명령줄 기반의 코드 감사 도구로, 정적 분석을 통해 하드코딩된 API 키나 보안 취약점 등 패턴 기반 규칙을 오프라인으로 검사합니다. API 키를 사용하면 Claude가 읽기 전용 방식으로 코드를 심층 조사할 수 있으며, 보고서는 Markdown, HTML, JSON 형식으로 출력됩니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GitHub Claude Ecosystem의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기프로젝트를 카테고리별로 점수화하며, 발견된 각 문제점(finding)을 파일, 줄 번호 및 제안된 수정 사항과 함께 나열합니다. 보고서는 터미널에서, 그리고 Markdown, HTML 또는 JSON 형식으로 출력됩니다. API 키가 없으면 정적 분석만 실행되며, 데이터는 기기 외부로 전송되지 않습니다.
# 정적 분석만 수행합니다. API 키가 필요 없으며, 데이터가 외부로 나가지 않습니다.
npx claude-audit --static
...
Node 18 이상 버전이 필요합니다. npx 사용 대신 설치하려면: npm install -g claude-audit.
보고서 파일은 감사된 프로젝트 내의 .claude-audit/ 디렉토리에 작성되므로, 해당 디렉토리를 .gitignore에 추가해야 합니다.
세 가지 모드가 있습니다.
| 모드 | 실행 방법 | 동작 내용 |
|---|---|---|
| Static | --static, 또는 API 키 미사용 시 | 패턴 기반 규칙만 적용됩니다. 밀리초(milliseconds) 단위로 오프라인에서 실행됩니다. |
| ... |
eval(), 문자열 연결로 생성된 SQL, dangerouslySetInnerHTML, 비활성화된 TLS 검증(disabled TLS verification), shell=True, 보안 목적으로 사용된 Math.random().성능(Performance)과 아키텍처(architecture)에는 정적인 규칙이 없습니다. 이들은 AI 감사가 실행될 때만 점수가 매겨집니다.
API 키를 사용하면 Claude가 보안(security), 품질(quality), 성능(performance), 아키텍처(architecture), 의존성(dependencies), 테스트(testing), 문서화(documentation)의 일곱 가지 모든 카테고리를 검토합니다.
정적 규칙(static rules)은 정규 표현식(regular expressions)입니다. 이들은 일반적인 실수를 빠르게 포착하며, 예를 들어 주석 내에 있는 eval(과 같은 오탐지(false positives)도 생성합니다. 의존성 목록은 짧고 수동으로 유지되므로, npm audit나 실제 취약점 스캐너를 대체할 수는 없습니다. AI 감사는 모델로부터 얻는 두 번째 의견이며, 잘못될 수 있다는 일반적인 주의사항이 따릅니다. 알려진 누락 사항은 TODO.md에 나열되어 있습니다.
이 저장소에 있는 샘플 프로젝트를 사용하여 npx claude-audit --static examples/shop-api로 실행한 경우:
shop-api examples/shop-api
5 files, 64 lines · JSON, JavaScript, Express · static analysis only
...
모든 보고서에서 비밀 정보(secrets)는 마스킹됩니다.
Usage: claude-audit [options] [path]
path 감사할 프로젝트 (기본값: ".")
...
| Code | 의미 |
|---|---|
0 | 심각한 발견 사항 없음 |
AI 단계가 실패하거나 예산이 소진되면, 보고서는 정적 결과로 대체됩니다. 이는 stderr의 경고 메시지와 JSON 보고서의 warnings 필드에 명시되며, 이때 aiPowered는 false입니다.
Claude는 결과를 제출하기 위해 고정된 읽기 전용 도구 세트(get_project_summary, get_static_findings, read_dependency_manifest, list_files, search_code, read_file, finalize_audit)를 사용합니다. 관련 제한 사항은 다음과 같습니다:
.., 절대 경로, 그리고 프로젝트 외부로 연결되는 심볼릭 링크는 거부됩니다.--max-turns 턴 또는 --max-budget 토큰이 지나면 중단되거나, Claude가 동일한 도구 호출을 반복하는 경우 중단됩니다.--no-trace를 전달하지 않는 한, 모든 도구 호출은 .claude-audit/agent-trace.jsonl(턴, 입력, 출력 미리 보기, 지속 시간)에 기록됩니다.사용자의 코드는 두 가지 AI 모드에서 Anthropic API로 전송됩니다. --static 모드에서는 어떠한 경우에도 전송되지 않습니다.
GitHub Action으로 사용 시:
- uses: itsmesherry/claude-audit@v0
with:
api-key: ${{ secrets.ANTHROPIC_API_KEY }} # 선택 사항; 이 키가 없으면 정적 분석만 가능
...
이 액션은 score, grade, critical-count, high-count, total-findings, report-json, report-sarif 출력을 설정하고 워크플로우 실행에 요약 테이블을 추가합니다. @v0는 최신 0.x 버전을 따르며, 선호하는 경우 @v0.5.0과 같은 전체 버전을 고정할 수 있습니다.
결과를 코드 스캐닝 알림 및 풀 리퀘스트 내에 표시하려면, upload-sarif: true로 설정하고 작업(job)에 permissions: security-events: write 권한을 부여해야 합니다. 비공개 저장소(private repository)에서 코드 스캐닝을 사용하려면 GitHub Advanced Security가 필요합니다.