AppSec Workflow Skills

AppSec Workflow Skills 是一套给 Codex 使用的 APP 安全漏洞处理流程，包含三个 Skill：

• appsec-start：建档、导入漏洞文档、只读扫描、triage、起草修复计划。
• appsec-fix：按已批准的修复计划改代码并验证。
• appsec-archive：归档 case，沉淀 root cause、fix pattern 和 checklist。

安装和初始化

发布到 npm 后，用户在任意项目根目录执行：

npx appsec init

也可以显式调用命令名：

npx --package appsec appsec init

这个命令会根据你的选择执行下面动作：

• 安装 Skills：把 appsec-start、appsec-fix、appsec-archive 安装到全局目录或当前项目智能体目录。
• 初始化项目：在当前项目创建当前智能体的 AppSec 工作区，Codex 为 .codex/appsec/，Qoder 为 .qoder/appsec/。

默认会进入 4 步向导：

1. 选择安装范围
2. 选择开发工具
3. 检测已有安装并选择处理方式
4. 确认执行

向导只支持方向键选择：使用 ↑/↓ 移动，Enter 确认。

安装范围说明：

• 全局安装（推荐）：把 AppSec Skills 安装到开发工具个人目录，同时初始化当前项目智能体 AppSec 工作区。
• 项目内安装：把 AppSec Skills 安装到当前项目的智能体目录，同时初始化当前项目智能体 AppSec 工作区。

开发工具选择在两种安装范围下都会出现。全局安装时，它决定 Skills 写入 ~/.codex/skills/ 还是 ~/.agents/skills/；项目内安装时，它决定 Skills 写入当前项目的 .codex/skills/ 还是 .qoder/skills/。

生成结构：

~/.codex/skills/
├── appsec-start/
├── appsec-fix/
└── appsec-archive/

当前项目/
└── .codex/skills/ 或 .qoder/skills/
    ├── appsec-start/
    ├── appsec-fix/
    └── appsec-archive/

全局安装时，项目内 .codex/skills/ 或 .qoder/skills/ 不会创建；项目内安装时，Skill 本体会跟随当前项目。

两种安装范围都会创建：

当前项目/.codex/appsec/ 或 当前项目/.qoder/appsec/
    ├── config.yml
    ├── cases/
    └── rules/
        └── project.md

使用

$appsec-start 扫描当前项目或读取漏洞文档
$appsec-fix 修复当前 case
$appsec-archive 归档经验

命令选项

无交互默认安装：

appsec init --yes

等价于全局安装，并初始化当前项目 .codex/appsec/。

选择安装范围：

appsec init --yes --scope global
appsec init --yes --scope project
appsec init --yes --scope all

global 表示安装到开发工具个人目录并初始化当前项目；project 表示安装到当前项目智能体目录并初始化当前项目；all 是兼容旧版本的写法，行为等同于 global。

选择开发工具：

appsec init --yes --tool codex
appsec init --yes --tool agents

codex 安装到 ~/.codex/skills/。agents 安装到 ~/.agents/skills/，用于 Qoder / Agents 兼容目录的实验支持。

选择 --scope project 时，codex 安装到当前项目 .codex/skills/，agents 安装到当前项目 .qoder/skills/。

AppSec 工作区也跟随开发工具：codex 使用当前项目 .codex/appsec/，agents 使用当前项目 .qoder/appsec/。

选择已有文件处理策略：

appsec init --yes --strategy keep
appsec init --yes --strategy backup
appsec init --yes --strategy overwrite

keep 保留已有文件，只补缺失文件。backup 先把已有文件或目录改名为 .backup-YYYYMMDDHHmmSS 再写入新内容。overwrite 直接覆盖。

兼容旧参数：

appsec init --force

等价于 appsec init --yes --strategy overwrite。

appsec init --skills-only

兼容旧参数，等价于 appsec init --yes --scope global。当前版本仍会同时初始化当前项目智能体 AppSec 工作区。

appsec init --project-only

兼容旧参数，等价于 appsec init --yes --scope project。当前版本会安装项目内 Skills，并初始化当前项目智能体 AppSec 工作区。

卸载

交互卸载：

npx appsec uninstall

默认流程会让你选择卸载范围、开发工具、是否删除修复记录，并确认执行。默认只删除 Skills，保留修复记录。

无交互卸载全局 Codex Skills，并保留修复记录：

appsec uninstall --yes

卸载项目内 Qoder Skills，并删除该项目的 Qoder AppSec 修复记录：

appsec uninstall --yes --scope project --tool agents --delete-records

同时卸载 Codex 和 Qoder / Agents：

appsec uninstall --yes --scope all --tool all

--delete-records 会删除当前项目 .codex/appsec/ 或 .qoder/appsec/，其中可能包含漏洞 case、扫描结果、修复计划、验证记录和归档经验。没有明确传这个参数时，修复记录会保留。

--tool all 只支持 uninstall，表示同时处理 Codex 和 Qoder / Agents；init 不支持这个选项。

发布

首次发布到 npm 官方公开仓库：

npm login --registry https://registry.npmjs.org
npm publish --access public --registry https://registry.npmjs.org

如果当前 npm 默认 registry 是镜像源，发布时必须显式指定 https://registry.npmjs.org。

旧包 appsec-workflow-skills 已发布过，后续主推短命令包 appsec。