Ein fortschrittliches KI-gestütztes Sicherheitsaudit-Protokoll für Java- und Kotlin-Projekte zur Identifizierung von Schwachstellen mit hoher Abdeckung und niedrigen Halluzinationsraten.
Installieren & Herunterladen
1. ClawHub CLI
Der schnellste Weg, einen Skill direkt aus der Registry zu installieren.
npx clawhub@latest install java-audit-skill
2. Manuelle Installation
Kopiere den Skill-Ordner an einen dieser Orte
~/.openclaw/skills/ <project>/skills/ Priorität: Workspace > Lokal > Integriert (Bundled)
3. Prompt-Installation
Kopiere diesen Prompt in OpenClaw, um ihn automatisch zu installieren.
Hilf mir, java-audit-skill über Clawhub zu installieren. Falls Clawhub nicht installiert ist, installiere es bitte zuerst (npm i -g clawhub).
Lieber herunterladen?
Hole dir die rohen Skill-Dateien in einem ZIP-Archiv.
Was ist Java Audit Skill?
Der Java Audit Skill für Openclaw Skills verwandelt Large Language Models in disziplinierte Sicherheitsrevisoren. Anstatt eine KI einfach zu bitten, Fehler zu finden, bietet dieser Skill einen strengen Rahmen aus Workflows, Ressourcenzuweisungsregeln und Sicherheitsleitplanken. Er wurde speziell für Codebasen auf Unternehmensebene entwickelt, bei denen die standardmäßige LLM-Leistung normalerweise aufgrund von Kontextlimits oder fehlender systematischer Analyse nachlässt.
Durch die Implementierung einer mehrphasigen Pipeline stellt der Skill sicher, dass jede Codezeile berücksichtigt, nach Risiko kategorisiert (Tiering) und über zwei Tracks geprüft wird: Sink-driven (Verfolgung von gefährlichem Code nach oben) und Control-driven (Überprüfung von Sicherheitskontrollen von Endpunkten nach unten). Diese Methodik adressiert effektiv komplexe Probleme wie Geschäftslogikfehler, unbefugten Zugriff und Abhängigkeitsschwachstellen, die automatisierte Tools oft übersehen.
Java Audit Skill Anwendungsfälle
- Systematisches Sicherheitsaudit von Java- oder Kotlin-Projekten zur Entdeckung von 0-day-Schwachstellen.
- Sicherheitsbewertungen von Codebasen auf Unternehmensebene für hochwertige Berichte mit geringer Halluzination.
- Frühzeitige Schwachstellenerkennung integriert in CI/CD-Pipelines.
- Spezialisiertes Audit für Geschäftslogikfehler, wie z. B. Zahlungsbypass oder vertikale/horizontale Privilegieneskalation.
So funktioniert Java Audit Skill
- Code-Metriken & Erkundung: Der Skill berechnet den Projektumfang (LOC, Dateianzahl, Controller), um die Effort Adjusted Lines of Code (EALOC) zu bestimmen.
- Ressourcenzuweisung: Agents werden basierend auf EALOC zugewiesen (ca. 1 Agent pro 15.000 EALOC) und Dateien werden basierend auf ihrer Sicherheitsrelevanz in Stufen (T1 bis T3) unterteilt.
- Gestaffeltes Audit: Ein dreistufiger Scan beginnt mit einem Nicht-LLM-Pre-Scanning (ripgrep/Semgrep), gefolgt von einem Dual-Track-LLM-Audit (Sink vs. Control driven).
- Semantic Coverage Gate: Das System erzwingt eine 100%ige Abdeckungsprüfung, indem es die Liste der geprüften Dateien mit den tatsächlichen Projektdateien abgleicht, um sicherzustellen, dass kein Code übersprungen wird.
- Verifizierung & Bewertung: Potenzielle Ergebnisse werden einer strengen Validierung gegen 5 Anti-Halluzinations-Regeln unterzogen und mit dem DKTSS-Framework (Base, Friction, Weapon, Version) bewertet.
- Berichterstellung: Der Prozess schließt mit standardisierten Audit-Berichten ab, die PoCs, Aufrufketten und Empfehlungen zur Behebung enthalten.
Java Audit Skill Einrichtung
Um die Audit-Umgebung zu initialisieren und Projektmetriken zu generieren, führen Sie die folgenden Befehle in Ihrem Projekt-Root aus:
# Calculate total LOC for Java, Kotlin, and XML files
find . \( -name "*.java" -o -name "*.kt" -o -name "*.xml" \) | xargs wc -l | tail -1
# Count Controllers and RestControllers
grep -r "@Controller\|@RestController\|@WebServlet" --include="*.java" | wc -l
# Generate metrics.json for Agent allocation
# (Ensure the Openclaw Skills environment is configured to read these outputs)
Java Audit Skill Datenschema & Taxonomie
Der Skill organisiert seine Ausgabe in einer strukturierten Pipeline von Dateien, um Persistenz und Rückverfolgbarkeit zu gewährleisten:
| Dateiname | Zweck | Format |
|---|---|---|
metrics.json |
Projektumfang und Komplexitätsbewertung | JSON |
tier-classification.md |
Stufenverteilung und Agent-Zuweisung | Markdown |
findings-raw.md |
Erste Kandidaten für Schwachstellen aus Phase 2 | Markdown |
findings-verified.md |
Bestätigte Schwachstellen nach der Verifizierung in Phase 3 | Markdown |
audit-report.md |
Finaler standardisierter Sicherheitsbericht | Markdown |
rules.yaml |
Generierte Semgrep-Regeln für CI/CD | YAML |
Java Audit Skill Erweiterte Funktionen
- Dual-Track-Audit (Sink-driven + Control-driven), um sowohl Injektionsfehler als auch fehlende Autorisierungsprüfungen zu erfassen.
- DKTSS-Bewertungssystem zur objektiven Priorisierung von Schwachstellen basierend auf Ausnutzungshürden und Auswirkungen.
- Automatisierte Semgrep-Regelgenerierung, um entdeckte Schwachstellen in permanente CI/CD-Schutzmaßnahmen umzuwandeln.
- Semantische Komprimierung von Code, um die token-Nutzung um bis zu 70% zu reduzieren und gleichzeitig logische Beziehungen beizubehalten.
- Multi-agent-Koordination für massive Projekte, unterstützt modulübergreifende Verifizierung und EALOC-basierten Lastausgleich.
SKILL.md
Laden
Verwandte Openclaw-Skills
Limit Authority
Ein Sicherheitsprotokoll mit hoher Priorität, das für alle AI-gesteuerten Dateimodifikationen eine explizite Benutzerbestätigung und vollständige Pfadtransparenz vorschreibt.
TikTok Video Analyzer
Ein strategisches Tool zur Analyse von TikTok-Performance-Treibern und zur Extraktion umsetzbarer Content-Lektionen für Creator und ecommerce-Marken.
Spezialist für WeChat Pay Ökosystem & Integration
Ein umfassender technischer und betrieblicher Leitfaden für die Integration und Verwaltung des WeChat Pay Finanzökosystems.
Zsh Themes Referenz
Ein dokumentationsorientiertes Referenz-Tool, das sofortigen Zugriff auf Zsh Themes Konzepte, Sicherheitsmuster und Best Practices für die Implementierung bietet.
SEO Audit
Ein umfassendes Diagnoserahmenwerk für AI agents zur Identifizierung technischer, On-Page- und inhaltsbezogener SEO-Probleme und zur Bereitstellung priorisierter Korrekturempfehlungen.
Rechtsdokument-Assistent
Ein spezialisierter AI-Assistent, der gebrauchsfertige Rechtsvorlagen und Expertenberatung für gängige rechtliche Szenarien bietet.
Hervorgehoben*
