1. 项目概述：当“氛围感编程”遇上安全，你需要一个“安全员”

如果你和我一样，是个独立开发者或者小团队的成员，最近一年肯定没少用 AI 来写代码。无论是 ChatGPT、Claude 还是 Cursor，那种“描述需求，代码即来”的“氛围感编程”（Vibe Coding）体验，确实极大地提升了开发速度。但不知道你有没有在某个深夜，看着 AI 生成的一行行流畅的代码，心里突然闪过一丝不安：“这代码，真的安全吗？”

我经历过。我曾让 AI 帮我快速搭建一个用户登录接口，它给了我一个能“跑起来”的版本。直到我偶然瞥见代码里直接把用户输入拼接进了 SQL 语句，瞬间惊出一身冷汗。这不是个例。AI 编码助手的目标是满足你的功能需求，它默认不会主动考虑安全。你问“怎么登录”，它给你一个能验证密码的端点；但它不会自动告诉你，这个端点没有速率限制，密码没加盐哈希，甚至存在 SQL 注入漏洞。

VibeSafe 就是为了解决这个核心痛点而生的。它不是一个需要安装的库，也不是一个复杂的扫描工具，而是一个 普适性的安全提示词 。你可以把它理解为你每次与 AI 结对编程时，身边那位沉默但严谨的安全工程师。在你开始描述项目需求之前，先把这份“安全章程”交给 AI，它就会在整个对话过程中，以安全优先的思维来生成和审查代码。

它的核心价值在于， 你不需要先成为安全专家，就能让 AI 产出具备基础安全防御的代码 。它覆盖了 OWASP 十大安全风险中的绝大多数常见问题，从认证授权、输入验证、API 防护到依赖管理，将安全最佳实践内化为 AI 的“本能反应”。

2. 核心设计思路：将安全规范“注入”AI的思维链

VibeSafe 的设计哲学非常直接：既然 AI 会根据我们的提示词来塑造输出，那么我们就给它一个以安全为绝对优先级的“人格设定”。这个思路的高明之处在于它的普适性和零成本。

2.1 从“功能实现者”到“安全共建者”的角色转换

在没有安全提示词的情况下，AI 的角色更像是一个“快速实现者”。它的优化目标是代码的语法正确性和功能完整性。而 VibeSafe 通过一大段结构化的指令，彻底改变了这个目标优先级。它明确告诉 AI：

  1. 你的首要身份是安全工程师 ：在思考任何功能实现前，先评估安全风险。
  2. 你有必须遵守的绝对规则 ：例如，永远使用参数化查询、永远对密码进行加盐哈希、永远验证输入。
  3. 你有必须执行的检查清单 ：在输出代码后，必须根据清单进行自我审计。

这种角色转换，相当于在 AI 的“思维链”最前端插入了一个安全过滤器。所有后续的代码生成和建议，都会自动经过这个过滤器的审视。

2.2 结构化规则与情景化示例的结合

VibeSafe 的提示词内容并非空洞的原则性说教，而是采用了“规则 + 反面案例 + 正确示例”的三段式结构。这是它能有效工作的关键。

  • 规则 ：给出明确的、可执行的指令，如“所有数据库查询必须使用参数化查询或预编译语句”。
  • 反面案例 ：展示一段 AI 平时可能会生成的、充满漏洞的代码（标记为 💀 ），并逐行注释漏洞点。这让 AI 直观地理解“错误长什么样”。
  • 正确示例 ：提供遵循了上述规则的、安全的代码实现（标记为 ✅ ），并解释每个安全措施的作用。

例如，在讲解登录端点时，它会先展示一个漏洞百出的版本，然后对比一个包含了速率限制、参数化查询、bcrypt 哈希比较、防用户枚举和会话固定攻击的安全版本。这种对比强烈的示例，能极大地强化 AI 对安全模式的理解和记忆。

2.3 模块化与可扩展的架构

VibeSafe 的主体是一个“基础安全提示词”，涵盖了 Web 开发中 80% 的通用安全问题。但作者考虑到了不同技术栈的特殊性，因此设计了“插件”机制。

  • 基础提示词 ：处理认证、会话、输入校验、API安全、数据库、错误处理等共性问题。
  • 专项插件 ：针对特定领域进行深度强化。例如：
    • REST & GraphQL API ：强调版本控制、状态码、分页安全、深度限制防滥用。
    • 浏览器扩展 ：关注 Manifest V3 权限最小化、 chrome.storage 的安全使用、内容脚本隔离。
    • 移动应用 ：涉及密钥链存储、证书绑定、代码混淆、深度链接验证。
    • SaaS/多租户应用 ：核心是租户数据隔离（如用行级安全策略）、资源配额、GDPR合规。
    • AI 应用 ：防范提示词注入、成本滥用（无限循环调用API）、输出内容安全。

这种设计使得 VibeSafe 既保持了核心的轻量与简单，又具备了应对复杂场景的能力。开发者可以根据自己的项目类型，将基础提示词与相应的插件组合使用，获得定制化的安全指导。

3. 实战应用：如何在日常开发中部署你的“AI安全员”

理论再好，不如亲手一试。下面我将详细拆解如何在不同主流的 AI 编程工具中集成 VibeSafe，并分享一些让效果最大化的实操技巧。

3.1 通用法：任何聊天式AI的启动仪式

对于 ChatGPT、Claude、Gemini 等聊天界面，方法最为直接。

  1. 获取提示词 ：打开 VibeSafe 项目的 PROMPT.md 文件，复制整个代码块内的全部内容。
  2. 开启新会话 ：每次当你开始一个与编码相关的新对话时， 第一条消息 就粘贴这份提示词。
  3. 描述你的需求 ：接着，像平常一样描述你要构建的功能，比如“帮我用 Express.js 写一个用户注册接口，包含邮箱验证”。

关键点 ：必须作为“第一条消息”。这确保了安全上下文被完整建立，并影响整个会话。如果你在聊了十几条关于业务的对话后再突然加入安全提示，AI 可能无法将规则回溯应用到之前讨论的代码中。

实操心得 ：我会为这个流程创建一个文本片段工具（如 macOS 的 TextExpander，或 VS Code 的片段功能），将 VibeSafe 提示词保存为快捷键（如 ;;vsafe ）。每次新开 AI 会话，第一件事就是输入这个快捷键，形成肌肉记忆。

3.2 集成法：让IDE智能助手持续护航

对于深度集成在 IDE 中的工具，如 Cursor、Windsurf、GitHub Copilot，可以实现“一次配置，全程守护”。

对于 Cursor / Windsurf： 这两个基于 VS Code 的 AI IDE 通常支持项目级或工作区级的规则设置。

  1. 在你的项目根目录下，找到或创建 .cursor 文件夹。
  2. 在该文件夹内创建一个 rules 文件（可能是 rules.mdc 或纯文本文件）。
  3. 将 VibeSafe 的提示词内容粘贴进去并保存。
  4. 此后，在该项目中的任何 AI 交互（聊天、编辑、自动完成）都会受到这些安全规则的约束。

对于 GitHub Copilot： Copilot 可以通过项目中的特定文件来读取上下文指令。

  1. 在项目根目录创建 .github 文件夹。
  2. 在 .github 文件夹内创建 copilot-instructions.md 文件。
  3. 将 VibeSafe 提示词粘贴进去。
  4. Copilot 在为你提供代码建议时，会参考这个文件中的指令，从而生成更安全的代码片段。

配置差异与效果 ：

  • 聊天式AI ：优势在于可以针对复杂逻辑进行安全讨论和代码审查。你可以追问：“我刚写的这段查询，用 VibeSafe 规则检查一下有什么问题？”
  • IDE集成AI ：优势在于无缝和持续。你写每一行代码，它都在背景里施加安全影响。例如，当你开始输入 db.query( 时，Copilot 可能会自动补全一个参数化查询的模板，而不是一个字符串拼接的模板。

3.3 会话维护与“唤醒”技巧

AI 的上下文长度有限，或者在长对话中可能会“忘记”最初的指令。VibeSafe 的作者提供了一个非常实用的“唤醒词”：

如果 AI 在对话中途似乎忘记了安全规则，只需说： “Check your security rules and review what you just wrote.” （检查你的安全规则，并审查你刚才写的内容。）

在我的实测中，这句话几乎每次都能立刻让 AI 切换回“安全审计模式”，对刚刚生成的代码进行一轮自查，并指出潜在问题或进行加固。这相当于给你的安全员一个哨子，随时可以吹响。

4. 深度解析：VibeSafe 如何修复典型安全漏洞

让我们通过几个最常见的、AI 极易引入的漏洞场景，看看 VibeSafe 具体是如何化险为夷的。理解这些，你就能更信任这位“安全员”的工作。

4.1 场景一：登录端点的全面加固

漏洞代码（AI常见输出）： 

app.post('/login', async (req, res) => {
  const { email, password } = req.body;
  // 💀 1. SQL注入：直接拼接用户输入
  const user = await db.query(`SELECT * FROM users WHERE email = '${email}'`);
  // 💀 2. 明文密码对比：数据库里存的可能就是明文，或者是不安全的哈希
  if (user.rows[0].password === password) {
    // 💀 3. 会话固定：直接使用现有会话，未重新生成
    req.session.user = user.rows[0]; // 💀 4. 存储了整个用户对象，可能包含敏感信息
    res.json({ success: true, user: user.rows[0] }); // 💀 5. 返回了密码哈希等敏感字段
  } else {
    // 💀 6. 错误信息差异化：返回‘用户不存在’或‘密码错误’，导致用户枚举攻击
    res.json({ success: false, message: 'Wrong password' });
  }
  // 💀 7. 缺失速率限制：攻击者可以无限次暴力破解
});

这段代码实现了“登录”功能，但留下了至少7个严重的安全后门。

VibeSafe 加固后的代码： 

// ✅ 1. 速率限制：15分钟内最多10次尝试
const loginLimiter = rateLimit({ windowMs: 15 * 60 * 1000, max: 10 });

app.post('/login', loginLimiter, async (req, res) => {
  const { email, password } = req.body;
  // ✅ 2. 基础输入验证
  if (!email || !password) {
    return res.status(400).json({ error: 'Email and password are required' });
  }

  try {
    // ✅ 3. 参数化查询：彻底杜绝SQL注入
    const result = await db.query(
      'SELECT id, password_hash FROM users WHERE email = $1',
      [email]
    );
    const user = result.rows[0];

    // ✅ 4. 防用户枚举与定时攻击：无论用户是否存在，都进行（耗时相近的）哈希比较
    const hashToCompare = user ? user.password_hash : '$2b$10$dummyhash...';
    const isValid = await bcrypt.compare(password, hashToCompare);

    // ✅ 5. 统一错误信息：不透露账户是否存在
    if (!user || !isValid) {
      return res.status(401).json({ error: 'Invalid email or password' });
    }

    // ✅ 6. 会话固定防护：登录成功后销毁旧会话，创建新会话ID
    req.session.regenerate((err) => {
      if (err) {
        return res.status(500).json({ error: 'Session error' });
      }
      // ✅ 7. 最小化会话存储：只存用户ID，不存完整对象
      req.session.userId = user.id;
      // ✅ 8. 响应中不暴露敏感数据
      res.json({ data: { message: 'Login successful' } });
    });

  } catch (error) {
    // ✅ 9. 通用错误处理：不向客户端暴露堆栈信息
    console.error('Login error:', error);
    res.status(500).json({ error: 'An internal error occurred' });
  }
});

通过对比，可以清晰看到 VibeSafe 如何将一段漏洞百出的代码，转变为具备工业级防护的代码。每一个 ✅ 都对应着对一个特定威胁的防御。

4.2 场景二：数据访问授权（IDOR）的杜绝

不安全的直接对象引用是另一个重灾区。AI 很容易写出一个“根据ID返回数据”的接口，却忘了检查当前登录用户是否有权访问这个ID对应的资源。

漏洞代码： 

app.get('/user/:id', async (req, res) => {
  // 💀 1. SQL注入 + 💀 2. 无身份认证 + 💀 3. 无授权检查
  const user = await db.query(`SELECT * FROM users WHERE id = ${req.params.id}`);
  // 💀 4. 返回所有字段，包括密码哈希、重置令牌等
  res.json(user.rows[0]);
});

攻击者只需遍历 /user/1 , /user/2 ... 就能盗取所有用户数据。

VibeSafe 加固后的代码： 

// ✅ 0. 前置身份认证中间件（假设`authenticate`会验证JWT或Session，并将用户信息挂载到req.user）
app.get('/user/:id', authenticate, async (req, res) => {
  // ✅ 1. 授权检查：请求的ID必须等于当前登录用户的ID
  if (req.params.id !== req.user.id) {
    return res.status(403).json({ error: 'Forbidden' });
  }

  try {
    // ✅ 2. 参数化查询
    const result = await db.query(
      // ✅ 3. 最小化字段选择：只返回前端需要的、非敏感的字段
      'SELECT id, name, email, avatar_url, created_at FROM users WHERE id = $1',
      [req.params.id]
    );
    if (!result.rows[0]) {
      return res.status(404).json({ error: 'Not found' });
    }
    // ✅ 4. 数据包装在`data`键下，符合一些API设计规范
    res.json({ data: result.rows[0] });
  } catch (error) {
    console.error('Fetch user error:', error);
    res.status(500).json({ error: 'An internal error occurred' });
  }
});

这个修复的核心在于引入了 基于所有权的授权 。它不仅仅检查“你是否登录”（认证），更检查“这个资源是不是你的”（授权）。这是防止水平越权访问（访问同级别其他用户数据）的最基本、最重要的防线。

4.3 场景三：文件上传的安全处理

文件上传功能是恶意攻击的温床，AI 生成的简单代码往往只关注“存下来”，忽略了“安全地存下来”。

漏洞代码： 

const multer = require('multer');
const upload = multer({ dest: 'uploads/' }); // 💀 1. 存储到web可访问目录

app.post('/upload', upload.single('file'), (req, res) => {
  // 💀 2. 无身份验证，任何人可上传
  // 💀 3. 无文件类型、大小限制
  // 💀 4. 返回服务器内部路径，暴露目录结构
  res.json({ path: req.file.path });
});

攻击者可以上传一个 .php 或 .js 的 webshell，然后通过访问 https://your-site.com/uploads/malicious.php 来执行恶意代码。

VibeSafe 加固后的代码： 

const multer = require('multer');
const { fileTypeFromBuffer } = require('file-type'); // 用于检测真实文件类型
const { S3Client, PutObjectCommand } = require('@aws-sdk/client-s3');
const crypto = require('crypto');

// ✅ 1. 允许的MIME类型白名单
const ALLOWED_MIME_TYPES = ['image/jpeg', 'image/png', 'image/gif', 'application/pdf'];

const upload = multer({
  storage: multer.memoryStorage(), // ✅ 2. 先存内存，验证后再处理
  limits: { fileSize: 5 * 1024 * 1024 }, // ✅ 3. 限制5MB
  fileFilter: (req, file, cb) => {
    // ✅ 4. 基于客户端声明的MIME类型进行初步过滤
    if (ALLOWED_MIME_TYPES.includes(file.mimetype)) {
      cb(null, true);
    } else {
      cb(new Error('File type not allowed'), false);
    }
  }
});

const s3Client = new S3Client({ region: 'us-east-1' });

app.post('/upload', authenticate, upload.single('file'), async (req, res) => {
  // ✅ 5. 需要身份验证
  if (!req.file) {
    return res.status(400).json({ error: 'No file uploaded' });
  }

  try {
    // ✅ 6. 二次验证：检测文件内容的真实类型，防止伪造扩展名
    const detected = await fileTypeFromBuffer(req.file.buffer);
    if (!detected || !ALLOWED_MIME_TYPES.includes(detected.mime)) {
      return res.status(400).json({ error: 'Invalid file type detected' });
    }

    // ✅ 7. 生成不可预测的文件名，防止路径遍历和冲突
    const fileExtension = detected.ext;
    const randomFileName = `${crypto.randomUUID()}.${fileExtension}`;
    // ✅ 8. 按用户ID组织目录，便于管理和清理
    const s3Key = `user-uploads/${req.user.id}/${randomFileName}`;

    // ✅ 9. 上传到对象存储（如S3），与Web服务器隔离
    await s3Client.send(new PutObjectCommand({
      Bucket: process.env.S3_BUCKET_NAME,
      Key: s3Key,
      Body: req.file.buffer,
      ContentType: detected.mime,
      // ✅ 10. 可设置额外的安全策略，如加密、公有/私有读写权限
    }));

    // ✅ 11. 返回一个不透明的文件标识符，而非内部路径
    res.json({
      data: {
        fileId: s3Key, // 或生成一个数据库记录的ID
        url: `/api/file/${s3Key}` // 通过一个安全的代理端点访问
      }
    });

  } catch (error) {
    console.error('Upload error:', error);
    res.status(500).json({ error: 'Upload failed' });
  }
});

这个方案构建了一个纵深防御体系：从身份认证、大小限制、类型白名单，到内容验证、安全存储和访问控制，层层设防，将文件上传的风险降到了最低。

5. 进阶使用与自定义：让安全提示词为你量身定制

VibeSafe 的基础规则已经非常强大，但真正的力量在于它的可扩展性。你的项目可能有独特的需求，这时就需要对它进行“微调”。

5.1 理解提示词的结构与修改点

VibeSafe 的 PROMPT.md 文件内容虽然长，但结构清晰。通常包含以下几个部分：

  1. 角色定义 ：开篇即定义 AI 的角色为“安全工程师”。
  2. 核心安全原则 ：列出最高优先级的规则（如“绝不信任客户端输入”）。
  3. 分项安全规则 ：按类别（认证、数据库、API等）详细列出具体规则。
  4. 反面与正面示例 ：通过代码对比加深理解。
  5. 输出格式要求 ：要求 AI 以特定格式（如标记 ✅ 和 💀 ）来展示其安全分析。

当你需要自定义时，可以：

  • 添加项目特定的规则 ：例如，如果你的项目必须符合 GDPR，可以在规则部分加入“任何用户数据的处理都必须有明确的合法基础，并在代码注释中注明（如‘基于用户同意’或‘履行合同必要’）”。
  • 修改技术栈默认值 ：基础提示词可能默认使用 bcrypt 进行密码哈希。如果你的团队统一使用 argon2 ，可以修改相关规则和示例。
  • 强化或弱化某些规则 ：对于内部管理后台，你可能觉得某些规则过于严格。可以调整，但 务必谨慎 ，并清楚知道放松规则带来的风险。

5.2 创建你自己的“插件”

VibeSafe 的插件（Add-ons）概念非常实用。假设你正在开发一个使用 WebSocket 的实时应用，而基础提示词对此覆盖不足。你可以创建一个 addons/WEBSOCKET.md 文件，内容可以包括：

## WebSocket 安全扩展规则

**角色**：你是一名专注于实时通信安全的工程师。

**核心规则**：
1.  **连接认证**：WebSocket 连接建立时，必须验证身份（如通过连接URL中的Token，或在首次消息中进行认证）。绝不提供未经认证的公共 WebSocket 端点。
2.  **消息验证**：服务器必须验证从客户端接收的每一条消息的格式、类型和内容，防止恶意数据导致服务端逻辑错误。
3.  **广播与授权**：当向频道或房间广播消息时，必须确保接收消息的客户端都有权限接收该信息。实现服务端的频道订阅授权逻辑。
4.  **防滥用与限流**：对客户端发送消息的频率和大小进行限制，防止通过 WebSocket 进行 DoS 攻击或垃圾信息轰炸。
5.  **敏感数据过滤**：从服务端向客户端推送数据时，必须经过与 REST API 相同的数据过滤和脱敏流程。

**反面示例（不安全）：**
```javascript
// 无认证，任何人均可连接
wss.on('connection', (ws) => {
  ws.on('message', (message) => {
    // 无条件广播，无消息验证
    wss.clients.forEach(client => client.send(message));
  });
});

正面示例（安全）： 

// 使用中间件验证连接Token
wss.on('connection', (ws, req) => {
  const token = req.url.split('token=')[1];
  if (!isValidToken(token)) {
    ws.close(1008, 'Unauthorized');
    return;
  }
  const userId = decodeToken(token).userId;
  ws.userId = userId;

  ws.on('message', async (rawMessage) => {
    try {
      const message = JSON.parse(rawMessage);
      // 验证消息结构
      if (!message.type || !message.data) {
        throw new Error('Invalid message format');
      }
      // 根据消息类型和用户权限处理...
      // 广播前检查接收者权限
    } catch (error) {
      ws.send(JSON.stringify({ error: 'Invalid message' }));
    }
  });
});

然后，在开始你的 WebSocket 项目时，将基础提示词和这个插件内容一起发给 AI。这样，你就获得了一个专精于实时应用安全的 AI 助手。

5.3 利用发布前检查清单

VibeSafe 项目中的 checklists/PRE_LAUNCH.md 是一个极佳的审计工具。即使你的代码全部由“安全模式”下的 AI 生成，在上线前手动（或让 AI 帮你）过一遍这个清单也至关重要。

这个清单将安全要求转化为一系列可回答“是/否”的问题，例如：

  • [ ] 所有 API 路由是否都实施了适当的身份验证和授权检查？
  • [ ] 是否在所有用户输入点都进行了服务器端验证？
  • [ ] 数据库连接是否使用了最小权限原则的用户？
  • [ ] .env 文件是否已加入 .gitignore ？生产环境密钥是否已从代码库中移除？
  • [ ] HTTP 安全头（如 CSP, HSTS）是否已正确配置？

你可以将这个清单作为上线流程的强制关卡。让 AI 根据你当前的代码库，逐项回答这个清单。任何一项的“否”都意味着一个需要立即修复的风险点。

6. 局限性与最佳实践：将VibeSafe融入你的开发生命周期

尽管 VibeSafe 非常强大，但它并非银弹。清醒地认识其局限性，并把它作为工具链中的一环，才能发挥最大价值。

6.1 VibeSafe 不能做什么

  1. 不能替代安全架构设计 ：它擅长在“实现”层面引入安全，但无法帮你设计一个安全的系统架构。例如，微服务间的认证如何设计、数据如何安全地跨域流动，这些宏观问题需要你自己把握。
  2. 不能发现业务逻辑漏洞 ：VibeSafe 主要防御的是技术性通用漏洞（如注入、越权）。对于“利用业务规则缺陷进行欺诈”这类漏洞（例如，利用竞态条件重复领取优惠券），AI 目前难以察觉。
  3. 不能进行动态测试 ：它不运行你的代码，因此无法发现运行时才暴露的问题，如内存泄漏、条件竞争或某些特定的配置错误。
  4. 不能保证依赖项安全 ：虽然它会提示你检查依赖的 CVE，但最终更新和维护依赖的责任在你。
  5. 无法应对未知攻击模式 ：它的规则基于已知的最佳实践，对于全新的、未知的攻击向量（0-day），它无法提供防护。

重要提示 ：正如 VibeSafe 文档中所强调的，对于处理支付、医疗健康数据或拥有大量用户的应用，这份清单和 AI 的辅助只是一个起点，让你达到“可防御”的状态。要达到“可审计”或“合规”的水平， 必须聘请专业的安全人员进行评估和渗透测试 。

6.2 与现有开发流程的结合

VibeSafe 应该成为你开发习惯的一部分，而不是一个额外的负担。以下是我建议的整合流程：

  1. 项目初始化阶段 ：在创建新项目或新功能分支时，第一时间配置好 VibeSafe（如将提示词加入 Cursor Rules 或 .github/copilot-instructions.md ）。
  2. 日常编码阶段 ：所有与 AI 的交互都在这个安全上下文中进行。养成使用“唤醒词”让 AI 自查代码的习惯。
  3. 代码审查阶段 ：在发起 Pull Request 前，除了人工审查，可以再次将关键代码片段丢给“已加载 VibeSafe”的 AI 会话，让它进行一轮专项安全审计。
  4. 预发布阶段 ：严格执行 PRE_LAUNCH.md 检查清单。可以创建一个自动化脚本，让 AI 辅助你遍历清单并生成报告。
  5. 持续学习与更新 ：关注 VibeSafe 项目的更新。安全威胁在进化，最佳实践也在更新。定期将最新的提示词和插件同步到你的项目中。

6.3 心态调整：从“信任AI”到“引导AI”

最终，VibeSafe 带来的最大改变，是开发者心态的转变。我们不再被动地接受 AI 生成的、“能跑就行”的代码，而是主动地、系统性地引导 AI 成为我们安全开发流程中的合作伙伴。

它降低了安全门槛，但并没有消除责任。你仍然是代码的最终负责人。VibeSafe 给了你一副更清晰的眼镜，让你能看清代码中的陷阱，但迈出安全每一步的，仍然是你自己。把它当作一个永不疲倦、知识渊博的初级安全顾问，而你自己，则需要成长为那个能做出最终判断的资深架构师。

Logo
亚马逊云科技技术品牌专区

更多推荐

open-code-review Codex 插件教程：对话式调用评审技能指南

本文是一份面向新手的 **open-code-review Codex 插件教程**，教你在 Codex 中通过对话式方式调用 open-code-review 的 AI 代码评审技能。open-code-review 是阿里巴巴开源的 AI 代码评审工具，采用"确定性流水线 + LLM Agent"混合架构，内置多语言评审规则（NPE、线程安全、XSS、SQL 注入等），可在 Codex 里用一

avatar 亚马逊云科技技术品牌专区

OBS Studio 完整指南：免费开源录屏与直播软件从零上手

想做一场像模像样的直播，或者把屏幕内容录成教程视频，但一想到商用软件的订阅费就有些犹豫？其实你不需要花一分钱。OBS Studio 是一款免费开源的直播与录屏软件，支持 Windows、macOS 和 Linux，采集、混音、编码、推流、录制，一条流水线全包了。## 先搞清楚 OBS Studio 是什么OBS Studio 是一个"场景化"的采集合成工具：你把摄像头、窗口、浏览器、图片、

avatar 亚马逊云科技技术品牌专区

如何用MediaCrawler爬取小红书抖音数据？7大平台爬虫从安装到实战完整指南

MediaCrawler 是一个支持小红书、抖音、快手、B站、微博、百度贴吧、知乎的开源自媒体数据采集工具。它能按关键词、按帖子、按创作者主页三种方式抓取笔记/视频内容、评论甚至二级评论，并把结果存成 JSON、CSV、Excel 或数据库。适合做市场调研、竞品监控、内容选题的运营人员，以及想要现成爬虫框架而不想从零写 JS 逆向的开发者。## 从一次"手动抄数据"说起想象这个场景：你负责

avatar 亚马逊云科技技术品牌专区