#moon-audit

#为什么需要 moon-audit？

#真实效果

1. Import 门控：Web 框架规则仅在项目引入相关框架时激活，从源头消除无关误报
2. 上下文过滤：CWE-22 过滤 API 路由/HTML 标签/URL 拼接等非路径上下文（误报率 ~60% → ~19%）；CWE-113 追踪 let 绑定常量和全常量 match
3. 可选 LLM 复核：将静态发现 + 源码上下文发送给 LLM 逐条研判

#安装

moon add minie135/moon-audit

moon update
moon build --target native --release
# 产物：_build/native/release/build/src/main/main.exe

#快速开始

# 静态扫描
moon-audit --format json /path/to/project

# 指定规则
moon-audit --rule CWE-113/crlf-injection /path/to/project

# 增量扫描（只扫描变更文件，适合 CI）
git diff --name-only HEAD~1 > changed.txt
moon-audit --changed-files changed.txt /path/to/project

# 生成 baseline（存量项目首次接入时，过滤已知告警）
moon-audit generate-baseline -o baseline.json /path/to/project
moon-audit --baseline baseline.json /path/to/project

# 查看所有规则
moon-audit list-rules

#快速示例

moon run src/main -- --rule CWE-22/path-concat --rule CWE-113/crlf-injection examples/

#输出格式

moon-audit --format json /path/to/project          # JSON
moon-audit --format sarif -o results.sarif /path/to  # SARIF（GitHub Code Scanning）
moon-audit --fail-on-error /path/to/project         # 有 Error 级别时 exit 1

#检测规则

#通用规则

#Web 框架规则（Import 门控）

#配置

{
  "rules": {
    "CWE-676/unsafe-call": { "enabled": true },
    "CWE-94/eval-extern": { "enabled": false }
  },
  "exclude": ["_build", ".mooncakes", "*_test.mbt"]
}

moon-audit --rule CWE-676/unsafe-call --rule CWE-248/panic-reachable /path/to/project

#CI 集成

#GitHub Actions

# .github/workflows/security.yml
name: Security Audit
on: [push, pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    permissions:
      security-events: write
    steps:
      - uses: actions/checkout@v4
      - uses: I3eg1nner/moon-audit@main

- uses: I3eg1nner/moon-audit@main
  with:
    fail-on-findings: 'true'
    severity: 'error'
    upload-sarif: 'true'

#可选 LLM 复核

#可选项目验证与语义检测

# 项目验证：用项目自己的工具链编译检查、核对源码和依赖快照
moon-audit --verify-project --project-toolchain /path/to/project-moon \
  --target native --format sarif -o results.sarif /path/to/project

# 语义检测：固定 mocket get 回调的数据流追踪
moon-audit --analysis semantic --verify-project \
  --semantic-scope mocket-get-callbacks \
  --project-toolchain /path/to/project-moon --target native \
  --format json /path/to/project

# 多模块 workspace 扫描
moon-audit workspace /path/to/workspace

#作为库依赖

moon add minie135/moon-audit

fn check_security(project_path : String) -> Unit {
  let config = @audit.Config::default()
  let result = @audit.scan_project(project_path, config)
  let errors = result.findings.filter(fn(f) { f.severity == @audit.Error })
  if errors.length() > 0 {
    println(@audit.format_text(result, false))
  }
}

#工作原理

  .mbt 源码 → Import 分析 → AST 解析 → 14 条规则匹配 → 上下文过滤 → 报告输出
                                                                    ↓（可选）
                                                         LLM 复核 / 语义数据流

1. Import 分析：解析 moon.pkg/moon.mod 依赖，决定激活哪些 Web 规则
2. AST 遍历：每条规则实现 IterVisitor trait，遍历语法树匹配漏洞模式
3. 上下文过滤：识别非路径上下文、常量变量、安全 match 等，抑制误报
4. 输出：Text / JSON / SARIF 2.1.0，每条 Finding 含 confidence 分级和稳定 fingerprint

#开发

moon test --target all --deny-warn
moon fmt --check
moon info
moon build --target native
python3 scripts/cli_regression_test.py
python3 scripts/detection_benchmark.py   # 检测回归基准（23 用例 × 6 规则）

#许可证