需将WorkBuddy集成至开发流程并配置规则集：一、启用SQLi与XSS检测插件并设高敏感度；二、绑定Git仓库并设置push/main及PR触发扫描；三、用YAML编写custom-orm-rawquery-sqli等自定义规则；四、通过扫描报告定位高危代码行并依建议修复；五、安装IDE插件实现编码时实时风险提示。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜如果您希望利用WorkBuddy辅助开展代码安全扫描，识别潜在的SQL注入与XSS风险，则需将其集成至开发流程中并配置对应规则集。以下是具体实施步骤：
一、配置WorkBuddy静态分析插件
WorkBuddy通过静态应用安全测试（SAST）引擎对源码进行词法与语法解析，匹配已知危险模式。需启用SQL注入与XSS专用检测规则包，确保覆盖参数拼接、反射输出、未过滤用户输入等典型漏洞场景。
1、在WorkBuddy主界面点击“设置”图标，进入“插件管理”页面。
2、搜索并启用
SQLi-Detection-Rule-Pack与XSS-Reflective-Output-Rule-Pack两个插件。
3、点击“规则配置”，将SQL注入检测等级设为
高敏感度（含字符串拼接+exec调用）
，XSS检测等级设为全上下文（含HTML/JS/URL编码环境）
。
二、绑定代码仓库并设置扫描触发条件
WorkBuddy支持对接Git类仓库，在提交前或Pull Request阶段自动拉取代码并执行增量扫描，避免遗漏新引入的风险片段。
1、进入“项目管理”页，点击“新增项目”，选择对应Git平台（如GitHub、GitLab）并授权访问权限。
2、在仓库列表中勾选目标代码库，点击“启用自动扫描”。
3、在触发策略中勾选
push到main分支与新建Pull Request时两项触发条件。
三、编写自定义规则扩展检测能力
标准规则可能无法覆盖业务特有框架的危险API调用方式，可通过WorkBuddy提供的YAML规则语言定义定制化检测逻辑，例如识别某内部ORM中绕过预编译的rawQuery方法。
1、进入“规则中心”→“自定义规则”，点击“新建YAML规则”。
2、在rule_id字段填写
custom-orm-rawquery-sqli，在pattern字段填入正则表达式\.rawQuery\([^)]*?(\$\{|\+\s*request\.|\.get\(|\.getParameter\()\)。
3、在severity字段设定为
CRITICAL，保存后在项目规则组中启用该条目。
四、解析扫描报告并定位高危代码行
WorkBuddy生成的扫描结果按风险等级分组，并关联具体文件路径、行号及上下文代码快照，便于快速验证是否为真实漏洞而非误报。
1、在“扫描历史”中打开最新一次报告，筛选状态为
UNCONFIRMED且严重性为CRITICAL或HIGH的条目。
2、点击某条SQL注入告警，查看“代码上下文”面板中高亮显示的
String sql = "SELECT * FROM user WHERE id = " + userId;语句。
3、在右侧“修复建议”栏中确认推荐替换为
PreparedStatement或使用参数化查询接口。
五、集成IDE实时提示功能
通过安装WorkBuddy IDE插件，可在编码过程中即时标出存在风险的代码片段，实现“写即检”，大幅降低漏洞流入版本控制系统的概率。
1、在IntelliJ IDEA或VS Code插件市场中搜索并安装WorkBuddy Security Assistant扩展。
2、重启IDE后，在设置中绑定WorkBuddy账户及当前项目ID。
3、当编辑器光标停留在包含
response.getWriter().print(input)的行时，底部状态栏立即显示[XSS] 反射式输出未过滤用户输入警告。