#MoonBit Native Audit

#为什么需要 moon-audit？

#真实效果

1. 上下文过滤：自动跳过 FFI 绑定、guard 校验、平台桩、unwrap 函数、标准库等已知安全上下文
2. LLM 研判（llm-analyze）：将静态发现 + 源码上下文发送给 LLM，逐条判定真/假阳
3. 深度审计（deep-audit）：静态分析与 LLM 代码审查结合，生成可执行的审计脚本

#快速开始

git clone https://github.com/I3eg1nner/moon-audit.git
cd moon-audit
moon install && moon build --target native

# 静态扫描
./moon-audit /path/to/project

# 全流程 pipeline（scan + 跨函数污点分析 + summary）
./moon-audit pipeline /path/to/project

# 增量扫描（只扫描变更文件，适合 CI）
git diff --name-only HEAD~1 > changed.txt
./moon-audit --changed-files changed.txt /path/to/project

# 生成 baseline（存量项目首次接入时，过滤已知告警）
./moon-audit generate-baseline -o .moon-audit-baseline.json /path/to/project
./moon-audit --baseline .moon-audit-baseline.json /path/to/project

二进制位于 _build/native/debug/build/src/main/main.exe，可复制到 PATH。 也可通过 moon add minie135/moon-audit 作为库依赖使用。

#输出格式

moon-audit --format json /path/to/project          # JSON
moon-audit --format sarif -o results.sarif /path/to  # SARIF（GitHub Code Scanning）
moon-audit --fail-on-error /path/to/project         # 有 Error 级别漏洞时 exit 1

#检测规则

#通用安全规则

#Web 框架规则（Import 门控）

#CI 集成

#GitHub Actions

# .github/workflows/security.yml
name: Security Audit
on: [push, pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    permissions:
      security-events: write
    steps:
      - uses: actions/checkout@v4
      - uses: I3eg1nner/moon-audit@main

- uses: I3eg1nner/moon-audit@main
  with:
    fail-on-findings: 'true'    # 显式启用：发现漏洞时阻断 CI
    severity: 'error'           # 最低报告级别
    upload-sarif: 'true'        # 上传到 GitHub Security

#其他 CI

curl -fsSL https://cli.moonbitlang.com/install/unix.sh | bash
export PATH="$HOME/.moon/bin:$PATH"
git clone --depth 1 https://github.com/I3eg1nner/moon-audit.git /tmp/moon-audit
cd /tmp/moon-audit && moon install
moon run src/main -- --format json -o "$PROJECT_DIR/audit.json" "$PROJECT_DIR"

#配置

{
  "rules": {
    "CWE-676/unsafe-call": { "enabled": true },
    "CWE-94/eval-extern": { "enabled": false }
  },
  "exclude": ["_build", ".mooncakes", "*_test.mbt"]
}

moon-audit --rule CWE-676/unsafe-call --rule CWE-248/panic-reachable /path/to/project
moon-audit list-rules   # 查看所有规则

#LLM 辅助降误报

cp .env.example .env
# 编辑 .env，填入你的 API 密钥

# Anthropic Claude（默认）
LLM_API_KEY=sk-ant-xxx
LLM_BASE_URL=https://api.anthropic.com/v1/messages
LLM_MODEL=claude-sonnet-4-20250514

# OpenAI 兼容 API
LLM_API_KEY=sk-xxx
LLM_BASE_URL=https://api.openai.com/v1
LLM_MODEL=gpt-4o

# 也支持 API_KEY / ANTHROPIC_API_KEY / Base_URL / Model 等变量名

# 生成可执行的 Python 验证脚本，自动调用 LLM API
moon-audit llm-analyze --format script -o verify.py /path/to/project
python3 verify.py

# 或输出 JSON 格式的 prompt（手动调用）
moon-audit llm-analyze --format json /path/to/project

# 静态分析 + LLM 代码审查结合，生成一键审计脚本
moon-audit deep-audit -o audit.py /path/to/project
python3 audit.py

#其他子命令

# PoC 验证脚本生成
moon-audit generate-poc -o poc.md /path/to/project

# 修复建议（含 Before/After 代码示例）
moon-audit remediate -o fixes.md /path/to/project

# 统计报告（按 CWE/OWASP 分类聚合）
moon-audit summary /path/to/project

# 查看所有规则及其默认状态
moon-audit list-rules

#作为库依赖

moon add minie135/moon-audit

fn check_security(project_path : String) -> Unit {
  let config = @audit.Config::default()
  let result = @audit.scan_project(project_path, config)

  let errors = result.findings.filter(fn(f) { f.severity == @audit.Error })
  if errors.length() > 0 {
    println(@audit.format_text(result, false))
  }
}

#工作原理

  .mbt 源码 → Import 分析 → AST 解析 → 14 条规则匹配 → 跨函数污点追踪 → 报告输出
                                                                         ↓（可选）
                                                              LLM 研判 / deep-audit / PoC 生成

1. Import 分析：解析 moon.pkg/moon.mod 依赖，构建 ImportContext，决定激活哪些 Web 规则
2. AST 遍历：每条规则实现 IterVisitor trait，遍历语法树匹配漏洞模式
3. 上下文过滤：识别 FFI 绑定、guard 校验、平台桩、unwrap 函数等安全上下文，抑制误报
4. 跨函数污点追踪：构建函数调用图，追踪跨函数的 source → sink 数据流路径
5. 输出：Text / JSON / SARIF 2.1.0，每条 Finding 含 confidence 分级和稳定 fingerprint

#开发

moon check     # 编译检查
moon test      # 运行测试（92 个用例 × 4 编译目标）
moon fmt       # 格式化

#许可证