Claude Security怎么持续扫描代码？首个项目、威胁模型与修复跟踪
依据10月21日更新，为符合条件的Enterprise组织创建Claude Security项目…
文章目录
只在上线前扫一次代码，无法反映后续提交的变化。10月21日更新后的Claude Security可持续关注代码变更，并跟踪发现何时被修复。本教程从一个获准仓库建立首个项目，重点是范围、部署事实和状态核对。它面向企业安全维护，与PR上的Code Review或普通聊天中的代码问答不同。
第一步：确认资格、席位与仓库权限
官方当前说明该能力为Claude Enterprise公开测试，需要相应premium seat及启用按用量计费的usage credits，由Owner在Organization settings > Claude Security开启。不要把普通Pro或第三方平台会员当作访问凭据。具体用量和组织条件按官方当前页面核对，不先假设可以免费无限扫描。
GitHub需管理员安装Claude GitHub App并授权目标仓库，添加仓库的人也要连接自己的GitHub账户。其他受支持Git服务按官方流程提供仓库地址与认证令牌。令牌只填写在正式配置入口，不粘贴到项目聊天或提示词；先从一个你有权测试的仓库开始。
第二步：创建项目并固定扫描范围
在Claude.ai进入Security，创建Project，选择仓库与目标分支。官方允许项目包含多个仓库，并设置文件夹范围或排除目录。首轮明确是哪条分支、哪些服务，避免模型分析了旧分支，而团队以为覆盖了生产代码。确认后Create project，启动深度基线扫描。
基线可能持续数分钟或数小时，可以离开页面等待，不需要反复创建同一项目。对多服务系统，只有在调用关系与扫描权限清楚后再纳入相关仓库。扫描范围过窄时应注明边界，不能将某个子目录没有发现问题扩展成整个系统安全。
第三步：补充代码看不到的部署事实
项目Knowledge可维护威胁模型并添加架构文档。写清服务暴露范围、身份验证、反向代理和已有控制，区分“当前事实”与“计划新增”。不要为了减少发现就声称所有接口都只在内网，实际部署必须能支持这个判断。
请核对本项目威胁模型：哪些入口可被未登录用户访问，哪些依赖网关校验，哪些控制仅存在于设计文档。逐条引用仓库或我提供的部署资料。证据不足列为待确认，不自行假设已有防护，也不要更改项目代码。
第四步：审阅发现与选择修复
在Findings检查严重程度、受影响文件与行号、到达漏洞的路径及证据。先确认输入确实可到达，再决定优先级。项目聊天可解释发现，Fix可将具体问题带到Claude Code；没有云端Code能力时按官方方式复制修复提示到自己的环境，不代表代码已自动合并。
误报、接受风险和已经修复是不同状态。Dismiss可按原因处理并写分诊说明；它不是证明漏洞被修好。对依赖部署控制的判断，先修正威胁模型与依据，再决定是否关闭发现，避免以后扫描沿用错误背景。
第五步：用提交与状态验证闭环
修复后仍需运行项目的测试和必要的安全验证，并确认改动已进入被扫描分支。官方说明Security会根据代码变化复查开放发现，修复落地后标记fixed；后续再次发现同一问题可能自动重新打开。不要只用本地未推送补丁宣称线上风险已消失。
记录发现ID、修复提交、验证方式和状态变化，必要时在项目Resources核对仓库范围。逐步给团队设置Full、Triage或View角色，按职责分工。首个项目合格的标准是扫描对象正确、发现可解释、修复有证据并能持续跟踪，而不是页面出现了一个绿色状态。
官方资料
资料核对日期：2026年10月23日。
本文地址：https://www.163264.com/17782
