Agent-Aktionen
Er führt Befehle aus und zeigt echte Ergebnisse im Chat.
Produkt
SQL-Injection-Test online: Ein Agent für Ihre eigene Staging-Umgebung
01
Viele Entwickler suchen nach einem SQL-Injection-Test online, um ihren eigenen Code zu überprüfen, aber CodeSpar ist kein Online-Dienst. Es führt Tools auf Ihrem PC gegen Ihre eigene Staging-Kopie aus und zeigt die Ergebnisse im Chat. Ähnlich suchen viele nach einem Online-Scanner für SQL-Injection, doch CodeSpar ist kein Online-Scanner. Er steuert den Workflow über lokale Shell-Befehle auf einer Staging-Kopie und stellt sicher, dass Sie nur das testen, was Ihnen gehört.
Dateien und Code
Er bearbeitet Dateien und zeigt Diffs an, bevor Sie Änderungen übernehmen.
Ihre Kontrolle
Sie wählen den Modus; in Ask first genehmigen Sie Änderungen.
Funktionen für Ihre eigenen Tests
- Dateienlesen, schreiben, bearbeiten, grep und Dateien im Chat-Ordner auflisten.
- Shellführt Terminalbefehle aus und meldet den echten Exit-Code.
- Webdurchsucht das Internet und liest offizielle Dokumentationsseiten.
- Screenshots und Bilderspeichert Bilder und liest Text aus Screenshots.
- Orchestrierungnutzt parallele Sub-Agents und wiederverwendbare Skill-Playbooks.
- GenehmigungsmodiAuto-run, Ask first und Plan only für Sicherheit.
- Cronführt Ihre Prompts zeitgesteuert aus, um Ihre App zu prüfen.
- Modelleverbindet sich mit Cloud-, lokalen oder dem integrierten Model-Endpoint.
Wie der Agent Ihre Tests unterstützt
Der Agent findet Datenbankaufrufe und schreibt Abfragen in parametrisierte Anweisungen um. Er prüft die Ausgabe-Codierung und überprüft Sicherheits-Header auf Ihrer Staging-Site.
Finden Sie alle Datenbankabfragen im Quellcode und listen Sie sie auf. Prüfen Sie die Datei injection-test-plan.txt für den Testplan. Führen Sie die Tests über die Shell aus. Prüfen Sie die Sicherheits-Header mit http_get.
- grep
grep -r "SELECT" --include="*.py3 Treffer - read_file
injection-test-plan.txt12 Zeilen gelesen - edit_file
src/query.pygespeichert - Shell
run testsexit 0 - http_get
http_get https://staging.codesmite.net200 ok
wartet auf Ihre Bestätigung für den nächsten SchrittAblehnenAkzeptieren
Anleitungen für Ihre Staging-Kopie
SQL-Injection finden und beheben
Der Agent nutzt grep, um im Quellcode nach Datenbankaufrufen zu suchen, und edit_file schreibt den Code um, um parametrisierte Abfragen zu verwenden, während er Ihnen den genauen Diff zeigt. Dies ist ein Test. Sie prüfen die Änderungen im Modus Ask first, bevor Sie das Update übernehmen. Shell führt Ihre Unit-Tests aus, um zu bestätigen, dass die Korrektur funktioniert, ohne die App zu beschädigen. Richten Sie eine Staging-Kopie mit Fake-Daten und einem Backup für sicheres Testen ein. Geben Sie dem Datenbankkonto niedrige Rechte, um versehentliche Schäden während des SQL-Injection-Tests online zu verhindern. Das Nachverfolgen von DOM-XSS von der Quelle bis zur Senke erfordert sorgfältige Analysen der Anwendungslogik. Nutzen Sie den SQL-Injection-Scanner, um Ihre Ergebnisse zu verifizieren und die Ergebnisse zu prüfen.
XSS und Header prüfen
Der Agent nutzt http_get, um eine Seite von Ihrer Staging-Site abzurufen und den Statuscode zu lesen, sodass er überprüft, ob der Content-Security-Policy-Header auf der Seite vorhanden ist und die Sicherheitslage bestätigt. Sie prüfen den Plan. Plan only erstellt einen detaillierten Plan und führt in dieser Phase gar nichts aus. Sie wechseln in den Modus Ask first, um Korrekturen sicher und korrekt anzuwenden. Sie halten die Arbeit auf Ihrer eigenen Staging-Site für die Privatsphäre. Der Agent liest die Datei, um zu bestätigen, dass die Ausgabe korrekt codiert ist. Der Editor notiert die Änderungen im Diff zu Ihrer Prüfung. Das Testdatenbankkonto hat die niedrigsten Rechte, die effektiv funktionieren, und Sie prüfen möglicherweise die CVSS-Bewertung für SQL-Injection, um Funde zu priorisieren.
Was CodeSpar nicht tut
Es ist kein gehosteter Dienst oder Plugin. Es ist nur für Ihre eigenen Dateien, Ihren PC und Server gedacht, die Sie zur Nutzung berechtigt sind. Sie behalten die Arbeit innerhalb dieser Grenzen. Der Agent erzwingt keinen Umfang. Shell, Web und SSH sind nicht ordnergebunden. Es gibt keine Garantie dafür, dass Code, Scans oder Analysen korrekt sind.
