AngusSecurity支持哪些功能？

AngusSecurity 是晓蚕云 AngusKit 里的应用安全检测与治理平台，主要用在两个时间点：代码合并和发布前，建立安全与合规门禁，避免把风险带进交付；项目交付和验收时，一次排查安全漏洞、许可证合规和代码质量问题。一次检查可以同时看源码里的安全问题、泄露的密钥、依赖里的已知漏洞，以及制品包和容器镜像，再按你设的门槛给出结论：这次能不能合并，能不能发布。

它能帮你做到什么

• 合并前就知道能不能过：高危问题在合并请求阶段就暴露出来，研发不用等到发布前才发现。
• 一份清单代替散在各处的结果：代码、密钥、依赖、许可证和镜像，同一次检查汇总成一个结论和一份专业报告。控制台、命令行和流水线发起的检查，结果也都进同一份问题列表。
• 项目验收时排除运营风险：对交付的代码和制品做一次全面扫描，把安全漏洞、许可证合规和代码质量问题一次查清。
• 数据留在内网：代码和制品不用传出你的环境，检查结果和报告都留在自己手里。

下面按用途分几块，说说具体怎么用。

发起检查

在「检查」页选一个目标，再勾要做的检查项。目标可以是上传的文件、Git 仓库、制品包或容器镜像；用命令行时，也可以直接扫本地的文件和目录。

检查项包括代码安全、密钥检查、依赖和制品漏洞。许可证合规和代码质量按需勾选：许可证合规有自己的一道门槛，代码质量单独列出，不影响安全结论。扫描深度可以选快速或更深，合并前用快速，定期巡检再用深度。

门禁结论

每次检查都会给出一个门禁结论，回答「能不能放行」。

• 通过：没有达到你设的那一档严重度，可以放行。
• 未通过：达到了，应该拦住。命令行退出码是 1，流水线会因此失败。
• 无法判定：这次结果不可信，比如没扫完或者检测程序出错。
• 跳过：这次没有做判定。

后两种先别当成通过，要回到任务详情看原因。任务还在运行，或门禁仍在计算时，空列表也先别当成通过。任务状态和门禁结论是分开的，「已完成」只表示扫完了，结论仍可能是未通过。

处理问题

「漏洞」页列出历次检查发现的问题，包括严重度、位置和修复建议，密钥片段默认打码显示。

确认是误报时，可以在这一次检查里把它抑制掉，不再计入这次的结论。原始记录会保留，下一次扫描会重新判断，谁抑制过可以在「活动」里查到。

真正要修的问题放进「告警」跟进。告警可以指派给具体的人，状态有待处理、已确认、已修复和已忽略四种，选择忽略时需要写明原因。

报告

「报告」把某一时刻的检查结果生成一份快照，用于里程碑评审、发版归档或项目验收。报告可以导出成 HTML、PDF、CSV、JSON 和 SARIF，封面能填公司名称、密级和主题色，直接作为交付材料。常用的范围和章节可以保存成模板，也可以按天、周、月或季度定时自动生成。报告生成后内容固定，不会被下一次扫描改写。

策略和规则

「策略」决定什么时候扫、从哪一档严重度开始算未通过。触发方式可以是手动、定时或 Webhook，门槛常用高危或严重。命令行用 --fail-on 参数指定同一档，页面和流水线的结论就能保持一致。

「规则」用来查阅已经安装的检测规则，规则的安装和升级在「工具」页完成。

工具和内网部署

「工具」页显示检测程序和漏洞库是否可用，也支持离线安装，适合不能连外网的环境。命令行是一个远程客户端，检查在 AngusSecurity 的节点上执行，运行流水线的机器不用自己装三套检测程序。

漏洞库太久没有更新时，默认检查照常完成，并多一条提示库年龄的记录。如果打开「过期即失败」，这种情况下任务会标为结果不完整，门禁结论是无法判定。

和 AngusGit、AngusRepo 配合

接入 AngusGit 后，合并请求会自动触发检查，结论显示在合并请求上。保护规则打开「要求安全检查通过」，仓库再打开「未通过时拒绝合并」，未通过才合不进去。接入 AngusRepo 后，可以对仓库里的包和镜像发起检查。

MCP 接入

在「系统 → MCP 接入」里配置后，Cursor、Claude、VS Code 就能连接 AngusSecurity。连上之后，可以按严重度和规则查问题，让助手解释某条发现为什么出现、该怎么修，也可以发起检查：提交后先拿到任务号，扫完再查看结果。抑制、查看密钥原文、发布报告、分享和修改告警状态，仍在控制台操作。接入步骤见 https://www.anguskit.com/zh/docs/security/get-started/mcp

侧栏菜单一览

文档：https://www.anguskit.com/zh/docs/security

AngusSecurity 一次检查覆盖 SAST（代码漏洞）、SCA（依赖风险）、密钥泄露及配置合规四大维度。

结果通过门禁策略自动判定：合并前仅阻断新增高危/严重问题，发版前则要求全量高中危清零且关键合规项达标，未通过则流水线直接拦截。

误报支持在线标记“忽略”并填写理由，后续扫描自动跳过；需跟进的问题可指派责任人、设定修复期限，系统持续跟踪直至闭环。所有处置记录留痕，既避免重复告警干扰开发，又确保每个风险都有明确归属与状态，审计时可追溯决策依据。

官方详细解决方案：https://www.aliyun.com/product/list/alibabacloudnative