一款零 API 的靜態漏洞掃描器，可分析多種程式語言的程式碼庫，以偵測並修復 ReDoS 和 regex 品質缺陷。
安裝與下載
1. ClawHub CLI
從來源直接安裝技能的最快方式。
npx clawhub@latest install phy-regex-audit
2. 手動安裝
將技能資料夾複製到以下位置之一
~/.openclaw/skills/ <project>/skills/ 優先級：工作區 > 本地 > 內建
3. 提示詞安裝
將此提示詞複製到 OpenClaw 即可自動安裝。
請幫我使用 Clawhub 安裝 phy-regex-audit。如果尚未安裝 Clawhub，請先安裝（npm i -g clawhub）。
想要直接下載？
取得包含原生技能檔案的ZIP壓縮檔。
什麼是 Regex Audit？
Regex Audit 技能為開發人員提供了一個本地、零外部 API 的靜態分析管線，專門用於發現正規表示式拒絕服務（ReDoS）風險和結構性 regex 缺陷。透過掃描目標專案目錄，該技能可以隔離原始檔案中的比對模式，暴露效能瓶頸，並根據其工程風險等級對漏洞進行分類。
該工具旨在保護生產應用程式免受災難性回溯的影響，它可以識別高度特定的反模式，例如嵌套量詞和重疊交替。除了漏洞識別之外，它還能在 HTTP 控制器和輸入承載資料（payload）結構等高風險元件內部對應危險的呼叫點，並提供安全、優化的程式碼重寫，以便在它們進入生產環境之前消除計算耗盡向量。
Regex Audit 應用場景
- 掃描舊版軟體程式碼庫，在重大版本部署之前識別並消除隱蔽的 ReDoS 向量。
- 審計面向公眾的 HTTP 端點控制器、字串清理器和路由運算式，以尋找未錨定的驗證 regex 模式。
- 透過篩選字元類別以尋找在地化或 ASCII 限制，在本地或整合的部署管線中強制執行安全編碼指南。
- 在將變更推送到生產引擎之前，驗證自訂電子郵件、電話或 URL 輸入模式篩選器的數學安全性。
Regex Audit 運作原理
- 在工作區目錄中發現目標語言原始檔案，同時故意繞過非生產依賴項，如 node_modules、建置產物或套件虛擬環境。
- 使用針對 JavaScript、Python、Go、Java、Ruby、PHP 和 Rust 的語言特定語法定義，提取正規表示式常值、具體化區塊和內嵌比對方法。
- 檢查每個提取的正規表示式周圍的上下文，以發現該陳述式是否駐留在公共請求處理常式或承載資料（payload）驗證常式中。
- 根據配置用於偵測指數級量詞、多項式重疊交替、貪婪點星（dot-star）鏈或未錨定邊界的決定性特徵碼區塊，對 regex 字串進行審計。
- 根據嚴重性指標對漏洞進行評級，範圍從低優先級的在地化異常到嚴重的指數級回溯條件。
- 生成一份高度優先的安全報告，其中包含針對性的檔案路徑、精確的行座標位置、概念性攻擊向量以及優化的替代模式。
Regex Audit 設定指南
執行以下工作區指令以啟動本地掃描器迴圈或直接審計目標路徑檔案：
# Audit the current working directory to auto-detect and review all source files
/regex-audit
# Scan specific internal directories or focused application validation files
/regex-audit src/
/regex-audit lib/validators.js
# Isolate the evaluation process to a specific development framework language
/regex-audit --lang js
/regex-audit --lang python
# Restrict findings to high-priority issues that represent security hazards
/regex-audit --min-severity high
/regex-audit --high-risk-only
Regex Audit 資料結構與分類體系
評估輸出使用清晰的数据分類法來組織發現的結果。結果可以整理到結構化表格中，或者匯出到序列化的結構中以進行自動化整合：
Severity Schema Classification
| Severity Level | Structural Matching Criteria | Runtime Operational Impact |
|---|---|---|
| CRITICAL | 嵌套量詞或星號/加號組合 | 觸發指數級回溯；已證實的拒絕服務危害。 |
| HIGH | 重疊交替或未錨定的貪婪點星（dot-star）迴圈 | 觸發多項式回溯；影響服務回應能力。 |
| MEDIUM | 無界複雜分組序列或未錨定約束 | 潛在的邏輯缺陷；使應用程式暴露於解析繞過風險中。 |
| LOW | 字元類別集僅限於基本 ASCII 設定檔 | 功能性在地化限制；字串解析品質缺陷。 |
Extracted Payload Structure
每個被審計的運算式都被封裝到一個專用的追蹤物件中，該物件由來源路徑、行參考號、常值運算式字串、臨近的執行上下文和語言分類組成。
Regex Audit 進階特性
- 多語言支援：無縫處理包含 JavaScript、TypeScript、Python、Go、Java、Ruby、PHP 和 Rust 配置的多語言架構。
- 自動化上下文評估：嗅探相鄰的原始程式碼行，以標記在路由器、主體、查詢和身份驗證驗證點（hooks）內部署的運算式。
- CI 自動化相容性：為 JSON 結構生成提供乾淨的指令旗標，便於輕鬆整合到單元測試框架和伺服器點（hooks）中。
- 精準測試模式：允許開發人員使用單個模式測試旗標，針對單個運算式目標字串試執行明確查詢規則。
SKILL.md
加載中
Openclaw 相關技能
Platform Rules Engine
這是一個本地化的、零依賴的 Python CLI 工具，用於根據 30 多條演算法規則掃描社群媒體草稿，以防止 shadowban、連結降權和排名下降。
GraphQL Schema Audit
一個用於 GraphQL SDL 或 introspection JSON 的本地靜態分析器，可捕獲效能漏洞、安全缺陷和架構風險。
精選*
