#moon-audit

#为什么需要 moon-audit？

#真实效果

#快速开始

git clone https://github.com/I3eg1nner/moon-audit.git
cd moon-audit
moon install && moon build --target native

# 扫描项目（一键全流程）
./moon-audit pipeline /path/to/project

# 或单独运行静态扫描
./moon-audit /path/to/project

二进制位于 _build/native/debug/build/src/main/main.exe，可复制到 PATH。 也可通过 moon add minie135/moon-audit 作为库依赖使用。

#输出格式

moon-audit --format json /path/to/project          # JSON
moon-audit --format sarif -o results.sarif /path/to  # SARIF（GitHub Code Scanning）
moon-audit --fail-on-error /path/to/project         # 有 Error 级别漏洞时 exit 1

#检测规则

#通用安全规则

#Web 框架规则（Import 门控）

#CI 集成

#GitHub Actions

# .github/workflows/security.yml
name: Security Audit
on: [push, pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    permissions:
      security-events: write
    steps:
      - uses: actions/checkout@v4
      - uses: I3eg1nner/moon-audit@main

- uses: I3eg1nner/moon-audit@main
  with:
    fail-on-findings: 'true'    # 显式启用：发现漏洞时阻断 CI
    severity: 'error'           # 最低报告级别
    upload-sarif: 'true'        # 上传到 GitHub Security

#其他 CI

curl -fsSL https://cli.moonbitlang.com/install/unix.sh | bash
export PATH="$HOME/.moon/bin:$PATH"
git clone --depth 1 https://github.com/I3eg1nner/moon-audit.git /tmp/moon-audit
cd /tmp/moon-audit && moon install
moon run src/main -- --format json -o "$PROJECT_DIR/audit.json" "$PROJECT_DIR"

#配置

{
  "rules": {
    "CWE-676/unsafe-call": { "enabled": true },
    "CWE-94/eval-extern": { "enabled": false }
  },
  "exclude": ["_build", ".mooncakes", "*_test.mbt"]
}

moon-audit --rule CWE-676/unsafe-call --rule CWE-248/panic-reachable /path/to/project
moon-audit list-rules   # 查看所有规则

#辅助功能

# LLM 辅助验证（需配置 .env 中的 API Key）
moon-audit llm-analyze --format script /path/to/project
python3 llm_analyze.py

# PoC 验证脚本生成
moon-audit generate-poc -o poc.md /path/to/project

# 修复建议（含 Before/After 代码示例）
moon-audit remediate -o fixes.md /path/to/project

# 统计报告（按 CWE/OWASP 分类聚合）
moon-audit summary /path/to/project

#作为库依赖

moon add minie135/moon-audit

fn check_security(project_path : String) -> Unit {
  let config = @audit.Config::default()
  let result = @audit.scan_project(project_path, config)

  let errors = result.findings.filter(fn(f) { f.severity == @audit.Error })
  if errors.length() > 0 {
    println(@audit.format_text(result, false))
  }
}

#工作原理

  .mbt 源码 → Import 分析(moon.pkg/moon.mod) → AST 解析(moonbitlang/parser) → 14 条规则匹配 → 报告输出(Text/JSON/SARIF)

1. Import 分析：解析依赖，构建 ImportContext，决定激活哪些 Web 规则
2. AST 遍历：每条规则实现 IterVisitor trait，遍历语法树匹配漏洞模式
3. 上下文过滤：识别 FFI 绑定、guard 校验、平台桩文件等安全上下文，抑制误报
4. 输出：Text / JSON / SARIF 2.1.0，每条 Finding 含 confidence 分级和稳定 fingerprint

#开发

moon check     # 编译检查
moon test      # 运行测试（65 个用例 × 4 编译目标）
moon fmt       # 格式化

#许可证