DryRun Security for AI Coding

好东西

令人印象深刻的是它实际上如何“解释”了风险，而不仅仅是说“严重程度高”。就像有一次我将用户输入直接传递到 shell 命令中 - 这并不理想。 DryRun 不只是大喊“危险”，它还说“这可能会让某人在你的服务器上运行任意命令”，甚至还显示了一个最小的修复。这种清晰度是很少见的。它还可以处理多种语言 - 我正在使用 Python 和 Express，并且它可以捕获两种语言的内容。误报率比我用其他工具看到的要低得多。当真正的问题是缺少 CSRF 令牌时，无需再筛选 40 个有关未使用变量的警告。

不太好的

这并不完美。界面很简单——只是一个带有问题列表的 GitHub 评论。没有仪表板，没有历史记录跟踪，在存储库中没有什么可看的。如果您习惯了 SonarQube 或 Snyk，这感觉就像是精简版。此外，由于它是基于网络的并且没有桌面应用程序，因此您无法在本地运行它。是的，它不是开源的，所以我不知道他们如何训练人工智能。这有点令人不安，但我已经使用它足够长的时间来信任它的输出。对于需要深入审计跟踪或合规报告的团队来说，这不太好。

底线

如果您是独立开发人员或快速工作的小团队，只想避免常见的安全陷阱而不学习全新系统，那么适用于 Web 应用程序的 AI 编码的 DryRun Security 是可靠的选择。它可以免费试用，立即生效，并让您的 PR 更加简洁。如果您需要高级报告或本地扫描，请跳过它。但是在愚蠢的错误发生之前就发现它们？是的，花五分钟的时间来设置是值得的。