在软件开发领域，代码安全始终是悬在开发者头顶的“达摩克利斯之剑”。无论是SQL注入、跨站脚本（XSS）还是缓冲区溢出，这些安全漏洞不仅可能导致数据泄露、服务瘫痪，更可能带来巨大的经济损失和声誉风险。传统上，保障代码安全依赖于开发者的安全意识、代码审计工具和繁琐的人工审查，但这套流程耗时耗力，且难以覆盖所有潜在风险。近年来，随着以OpenAI为代表的AI大模型在代码生成和理解方面展现出惊人能力，一个全新的可能性出现了：能否训练一个AI模型，让它不仅能写代码，还能写出“超人类”级别的安全代码？本文将深入探讨这一前沿话题，从核心概念、技术原理到实践路径，为你拆解如何利用AI模型提升代码安全性的完整方案。

1. 背景与核心概念：AI驱动的代码安全新范式

在深入技术细节之前，我们首先需要厘清几个核心概念：什么是“超人类安全代码”？以及OpenAI的模型在其中扮演什么角色？

“超人类安全代码” 并非指代码本身具有魔法，而是指通过AI辅助生成的代码，在安全性方面能够达到甚至超越经验丰富的安全专家团队的水平。这体现在几个维度：

  1. 漏洞发现的全面性 ：AI可以不知疲倦地扫描代码模式，识别出人类可能忽略的、深层次或组合式的安全漏洞。
  2. 修复建议的即时性 ：在代码编写的同时或之后立即提供修复建议，将安全左移，降低修复成本。
  3. 知识库的广博性 ：模型训练数据囊括了海量的公开漏洞库（如CVE）、安全编码规范（如OWASP Top 10）和最佳实践，其“经验”远超单个开发者。

OpenAI的代码模型 ，如Codex（GPT-3在代码上的微调版本）及其后续迭代，是这一范式的核心引擎。这些模型通过在海量公开代码库（如GitHub）上进行训练，学会了代码的语法、语义甚至一些编程模式。当我们将安全相关的知识（漏洞模式、安全编码规则、修复案例）注入到模型的训练或提示（Prompt）过程中时，它就有潜力成为一个强大的“安全编码助手”。

与传统安全工具的区别 ：

  • 静态应用安全测试（SAST） ：如SonarQube、Checkmarx，主要基于规则匹配和模式识别，灵活性和上下文理解有限。
  • AI驱动安全 ：基于大语言模型（LLM），能理解代码的意图和上下文，不仅能识别已知漏洞模式，还能推理出潜在的逻辑缺陷和业务安全风险，并提供自然语言解释和修复建议。

简单来说，我们的目标是： 利用经过安全知识增强的AI模型，在开发者写代码时，就像一个经验丰富的安全专家坐在旁边进行实时结对编程（Pair Programming），从而系统性提升产出的代码安全性。

2. 环境准备与核心工具

要实现AI辅助的安全代码编写，我们不需要从零开始训练一个巨型模型，而是基于现有的强大模型进行应用和微调。以下是核心的环境与工具栈。

2.1 核心AI模型平台：OpenAI API

目前，直接利用OpenAI强大的代码生成能力是最便捷的途径。你需要准备：

  • OpenAI API Key ：这是调用所有OpenAI模型服务的通行证。你需要注册OpenAI平台并获取API Key。
  • 模型选择 ：对于代码生成和安全分析，推荐使用 gpt-4 或 gpt-4-turbo-preview ，它们在代码理解和复杂推理上表现更佳。 gpt-3.5-turbo 成本更低，适合对响应速度要求高、问题相对简单的场景。
  • 网络环境 ：确保你的开发环境能够稳定访问OpenAI的API服务。

重要提示 ：使用API时，务必遵守OpenAI的使用政策，不要上传敏感代码或数据。对于企业级应用，可以考虑使用Azure OpenAI Service，它能提供更好的合规性与数据治理。

2.2 编程语言与框架

本文的示例将主要使用 Python ，因为它拥有丰富的AI生态库和简洁的语法，非常适合快速原型开发。同时，也会涉及一些通用的安全概念。

  • Python 3.8+ ：建议使用较新版本。
  • 关键Python库 ： 
    pip install openai  # OpenAI官方SDK
pip install python-dotenv # 管理环境变量（用于存储API Key）

2.3 辅助工具与知识库

  • 漏洞数据库 ：了解常见漏洞是提示工程的基础。OWASP Top 10、CWE（常见缺陷枚举）列表是必备知识。
  • 安全编码规范 ：如SEI CERT C/C++/Java编码标准、MITRE的ATT&CK框架等。
  • 本地测试环境 ：用于安全运行和测试生成的代码片段。

2.4 项目结构示意

一个简单的项目目录可能如下：

ai_secure_coder/
├── .env                    # 存储OPENAI_API_KEY
├── requirements.txt        # 项目依赖
├── src/
│   ├── secure_code_agent.py # 核心AI交互逻辑
│   └── prompts/            # 存放不同的安全提示词模板
│       ├── sql_injection.txt
│       ├── xss_prevention.txt
│       └── general_secure_review.txt
└── examples/               # 生成的代码示例和测试用例
    └── test_vulnerable_code.py

3. 核心原理：从提示工程到模型微调

让AI写出安全代码，核心是“教”它什么是安全。主要有两种技术路径，难度和效果逐级递增。

3.1 提示工程（Prompt Engineering） - 初级应用

这是最简单直接的方式，通过精心设计的提示词（Prompt），引导预训练模型生成安全代码或分析代码安全性。其核心思想是在输入中注入安全上下文和约束。

一个基础的安全代码生成提示词示例： 

你是一个资深的安全代码专家。请根据以下需求，用Python编写一个用户登录函数。
要求：
1. 使用参数化查询防止SQL注入。
2. 对密码进行加盐哈希处理（使用bcrypt库）。
3. 实现登录失败次数限制，防止暴力破解。
4. 返回清晰的JSON响应，包含状态码和消息。
请只输出最终的、完整的、可运行的函数代码，并添加必要的注释说明安全措施。

代码安全性审查提示词示例： 

请分析以下Python代码片段是否存在安全漏洞，特别是SQL注入、命令注入或路径遍历风险。如果存在，请指出漏洞位置、类型，并提供一个修复后的安全版本。

代码片段：
```python
import sqlite3
import os

def get_user_data(user_id):
    conn = sqlite3.connect('database.db')
    cursor = conn.cursor()
    # 危险：直接拼接用户输入
    query = f"SELECT * FROM users WHERE id = {user_id}"
    cursor.execute(query)
    return cursor.fetchall()

def read_file(filename):
    # 危险：未验证用户输入路径
    with open(filename, 'r') as f:
        return f.read()


**提示词设计的要点：**
*   **角色设定**：明确AI的角色（如“安全专家”），使其回答更专业。
*   **任务明确**：清晰说明要生成代码还是分析代码。
*   **约束具体**：列出具体的安全要求（OWASP条目、使用特定安全库等）。
*   **输出格式**：指定输出格式（如“只输出代码”、“用表格列出漏洞”），便于后续自动化处理。

### 3.2 检索增强生成（RAG） - 中级应用
当提示词无法承载所有复杂的安全知识时，可以使用RAG。其原理是：先将安全知识库（如CVE详情、安全编码规范PDF）转换成向量并存储。当用户提问时，先从知识库中检索出最相关的安全知识片段，然后将这些片段作为上下文和用户问题一起送给AI模型，从而生成更准确、更有依据的回答。

**简易RAG流程：**
1.  知识库处理：将安全文档切块、向量化（使用OpenAI的`text-embedding-ada-002`等模型）。
2.  检索：根据用户问题，计算其向量与知识库向量的相似度，召回最相关的几个知识片段。
3.  生成：将召回的知识片段和原始问题组合成增强提示词，发送给GPT模型生成最终答案。

这种方式让模型能“引用”最新的、外部的安全知识，而不仅仅依赖其训练数据中的记忆。

### 3.3 模型微调（Fine-Tuning） - 高级应用
这是打造专属“超人类安全模型”的终极路径。通过收集大量`{不安全代码， 安全代码}`或`{代码， 安全分析报告}`的配对数据，对基础模型（如`gpt-3.5-turbo`）进行额外的训练，使模型将安全编码模式内化。

**微调数据示例（JSONL格式）：**
```json
{"messages": [{"role": "system", "content": "你是一个代码安全转换器。"}, {"role": "user", "content": "将以下易受SQL注入攻击的代码转换为安全代码：\n```python\ndef get_user(id):\n    cursor.execute(f'SELECT * FROM users WHERE id = {id}')\n```"}, {"role": "assistant", "content": "```python\nimport sqlite3\ndef get_user(user_id):\n    conn = sqlite3.connect('app.db')\n    cursor = conn.cursor()\n    # 使用参数化查询防止SQL注入\n    cursor.execute('SELECT * FROM users WHERE id = ?', (user_id,))\n    return cursor.fetchone()\n```\n修复说明：使用问号占位符和参数元组，确保用户输入被当做数据处理，而非SQL指令的一部分。"}]}

微调后的模型在遇到类似的不安全代码模式时，能更稳定、更精准地输出安全版本。但微调需要高质量的数据集和一定的计算成本。

4. 完整实战案例：构建一个AI安全代码审查助手

下面我们将通过一个完整的Python项目，实现一个基于提示工程的命令行AI安全代码审查工具。

4.1 项目初始化与配置

首先创建项目目录并安装依赖。

mkdir ai_code_auditor && cd ai_code_auditor
python -m venv venv
# Windows: venv\Scripts\activate
# Mac/Linux: source venv/bin/activate
pip install openai python-dotenv

创建 .env 文件存储你的API密钥（ 切勿提交到版本控制系统 ）：

# .env
OPENAI_API_KEY=你的_openai_api_key_在这里

4.2 编写核心交互模块

创建 auditor.py 文件，包含与OpenAI API交互的核心逻辑。

# auditor.py
import os
import openai
from dotenv import load_dotenv
import argparse

# 加载环境变量
load_dotenv()
openai.api_key = os.getenv("OPENAI_API_KEY")

def analyze_code_security(code_snippet: str, language: str = "python") -> str:
    """
    使用GPT模型分析代码片段的安全性。
    
    Args:
        code_snippet: 待分析的代码字符串
        language: 编程语言，用于提示词
    
    Returns:
        AI生成的安全分析报告
    """
    # 精心设计的系统提示词，定义AI的角色和能力
    system_prompt = """你是一个顶尖的应用程序安全专家。你的任务是仔细审查给定的代码，找出所有可能的安全漏洞。
    你需要重点关注以下方面：
    1. 注入漏洞（SQL、NoSQL、OS命令、LDAP、模板注入等）
    2. 跨站脚本（XSS）
    3. 不安全的反序列化
    4. 敏感数据泄露（硬编码密钥、错误信息泄露）
    5. 访问控制缺陷（权限绕过）
    6. 密码学误用（弱哈希、自定义加密、不安全的随机数）
    7. 输入验证缺失
    8. 路径遍历
    9. 不安全的直接对象引用（IDOR）
    
    对于发现的每个潜在漏洞，请按以下格式详细说明：
    - **漏洞类型**：[如SQL注入]
    - **危险代码行**：[指出具体行或代码段]
    - **风险等级**：[高/中/低]
    - **漏洞原理**：[简要解释为何这是漏洞]
    - **修复建议**：[提供具体的、安全的代码修改方案]
    
    如果代码看起来是安全的，请明确指出“未发现明显安全漏洞”，并简要说明理由。
    请确保分析专业、准确、可操作。"""
    
    # 用户提示词，包含具体的代码
    user_prompt = f"""请分析以下{language}代码的安全性：
    
    ```{language}
    {code_snippet}
    ```
    """
    
    try:
        response = openai.ChatCompletion.create(
            model="gpt-4-turbo-preview", # 或 "gpt-3.5-turbo"
            messages=[
                {"role": "system", "content": system_prompt},
                {"role": "user", "content": user_prompt}
            ],
            temperature=0.2, # 低温度使输出更确定、更专业
            max_tokens=1500
        )
        return response.choices[0].message.content
    except openai.error.OpenAIError as e:
        return f"调用AI API时发生错误: {e}"

def read_code_from_file(filepath: str) -> str:
    """从文件中读取代码"""
    try:
        with open(filepath, 'r', encoding='utf-8') as f:
            return f.read()
    except FileNotFoundError:
        print(f"错误：文件 '{filepath}' 未找到。")
        exit(1)
    except Exception as e:
        print(f"读取文件时发生错误: {e}")
        exit(1)

if __name__ == "__main__":
    parser = argparse.ArgumentParser(description='AI代码安全审查工具')
    parser.add_argument('file', help='要审查的代码文件路径')
    parser.add_argument('-l', '--language', default='python', help='代码语言 (默认: python)')
    
    args = parser.parse_args()
    
    code = read_code_from_file(args.file)
    print(f"正在分析文件: {args.file} ...\n")
    print("="*60)
    report = analyze_code_security(code, args.language)
    print(report)
    print("="*60)

4.3 准备测试用例

创建一个包含漏洞的示例文件 vulnerable_example.py 用于测试。

# vulnerable_example.py
# 这是一个包含多种常见安全漏洞的示例文件，用于测试AI审查器
import sqlite3
import subprocess
import pickle
import os

def vulnerable_sql_query(username):
    """存在SQL注入漏洞的函数"""
    conn = sqlite3.connect('test.db')
    cursor = conn.cursor()
    # 高危：直接拼接用户输入到SQL语句
    query = f"SELECT * FROM users WHERE name = '{username}'"
    cursor.execute(query) # 危险行！
    return cursor.fetchall()

def execute_user_command():
    """存在命令注入漏洞的函数"""
    user_input = input("请输入要查看的目录: ")
    # 高危：未过滤用户输入直接传入shell
    output = subprocess.check_output(f"ls -la {user_input}", shell=True) # 危险行！
    return output.decode()

def load_untrusted_data():
    """存在不安全的反序列化漏洞"""
    data = input("输入序列化数据: ")
    # 高危：反序列化不可信数据
    obj = pickle.loads(data.encode()) # 危险行！
    return obj

def read_arbitrary_file():
    """存在路径遍历漏洞"""
    filename = input("请输入文件名: ")
    # 中危：未对路径进行规范化或白名单校验
    with open(filename, 'r') as f: # 潜在危险行！
        return f.read()

# 硬编码的敏感信息（低危但不良实践）
API_KEY = "sk-live-1234567890abcdef"
DATABASE_PASSWORD = "admin123"

4.4 运行与验证

在命令行中运行我们的审查工具：

python auditor.py vulnerable_example.py -l python

预期输出（AI生成的报告摘要，实际内容可能更详细）： 

正在分析文件: vulnerable_example.py ...

============================================================

发现以下安全漏洞：

1. **漏洞类型**：SQL注入
   **危险代码行**：`query = f"SELECT * FROM users WHERE name = '{username}'"` 及 `cursor.execute(query)`
   **风险等级**：高
   **漏洞原理**：直接将未经验证的用户输入（`username`）拼接进SQL字符串，攻击者可输入如 `' OR '1'='1` 之类的值来篡改查询逻辑，导致数据泄露或破坏。
   **修复建议**：使用参数化查询。修改为：
   ```python
   query = "SELECT * FROM users WHERE name = ?"
   cursor.execute(query, (username,))

  1. 漏洞类型 ：操作系统命令注入 危险代码行 ： output = subprocess.check_output(f"ls -la {user_input}", shell=True) 风险等级 ：高 漏洞原理 ：使用 shell=True 并将用户输入直接插入命令字符串，攻击者可通过输入如 /tmp; rm -rf / 来执行任意命令。 修复建议 ：避免使用 shell=True ，并使用 subprocess.run 的列表参数形式。如果必须接受用户输入，应进行严格的白名单验证。

    # 如果只是列出目录，应避免用户输入控制参数
# 或使用安全的库如 `os.listdir`

  2. 漏洞类型 ：不安全的反序列化 危险代码行 ： obj = pickle.loads(data.encode()) 风险等级 ：高 漏洞原理 ： pickle 模块在反序列化时会执行任意代码。反序列化来自不可信源的数据可能导致远程代码执行（RCE）。 修复建议 ：绝对不要使用 pickle 加载不受信任的数据。考虑使用JSON等安全格式。如果必须使用，需配合严格的数字签名验证。

  3. 漏洞类型 ：路径遍历 危险代码行 ： with open(filename, 'r') as f: 风险等级 ：中 漏洞原理 ：未对用户提供的 filename 进行限制，攻击者可能通过输入 ../../../etc/passwd 等路径访问系统敏感文件。 修复建议 ：对输入路径进行规范化，并基于一个安全的基准目录进行校验。

    import os
BASE_DIR = '/safe/dir'
requested_path = os.path.normpath(filename)
if not requested_path.startswith(BASE_DIR):
    raise ValueError("非法路径访问")

  4. 漏洞类型 ：硬编码敏感信息 危险代码行 ： API_KEY = "sk-live-1234567890abcdef" 和 DATABASE_PASSWORD = "admin123" 风险等级 ：低（在代码仓库中为高危） 漏洞原理 ：将密钥和密码直接写在源代码中，一旦代码泄露，攻击者可直接获得这些凭据。 修复建议 ：使用环境变量、密钥管理服务（如AWS Secrets Manager）或配置文件（不提交到版本控制）来管理敏感信息。

    import os
API_KEY = os.environ.get('API_KEY')

============================================================

通过这个案例，我们可以看到，AI模型不仅能识别出经典漏洞，还能提供具体的修复代码和解释，极大地提升了代码审计的效率和深度。

## 5. 进阶应用：安全代码生成与自动修复

除了审查，我们还可以让AI主动生成安全的代码。关键在于提供足够详细和明确的安全约束。

### 5.1 安全代码生成示例
创建一个 `secure_generator.py` 文件：
```python
# secure_generator.py
import openai
from dotenv import load_dotenv
import os

load_dotenv()
openai.api_key = os.getenv("OPENAI_API_KEY")

def generate_secure_login_function():
    prompt = """
    你是一个专注于Web安全的Python后端开发专家。请生成一个完整的、生产可用的用户登录API端点函数框架。
    要求：
    1. 使用Flask框架。
    2. 使用参数化查询与数据库交互（假设使用SQLAlchemy）。
    3. 使用bcrypt对密码进行加盐哈希校验，绝对不要明文存储或比较密码。
    4. 实现登录尝试速率限制（例如，5分钟内失败5次则锁定账户15分钟）。
    5. 记录安全日志（登录成功/失败，包含IP、时间戳）。
    6. 设置安全的HTTP-only Cookie用于会话管理。
    7. 返回统一的JSON响应格式。
    8. 包含必要的异常处理和输入验证（邮箱格式、密码强度）。
    9. 代码需包含详细注释，解释每个安全措施的目的。

    请只输出Python代码。
    """
    
    try:
        response = openai.ChatCompletion.create(
            model="gpt-4-turbo-preview",
            messages=[{"role": "user", "content": prompt}],
            temperature=0.3,
            max_tokens=2000
        )
        return response.choices[0].message.content
    except Exception as e:
        return str(e)

if __name__ == "__main__":
    secure_code = generate_secure_login_function()
    print(secure_code)

运行此脚本，AI将生成一个包含了多项安全最佳实践的登录函数框架，开发者可以在此基础上进行微调和集成。

5.2 集成到开发流程：IDE插件与CI/CD

要让AI安全助手发挥最大价值，必须将其集成到开发者的日常工作流中。

  • IDE插件 ：可以基于上述原理，开发VSCode或JetBrains IDE的插件。在开发者编写代码或保存文件时，自动将当前代码段或文件发送给AI进行实时审查，并将结果以内联提示或问题面板的形式展示。
  • CI/CD流水线 ：在Git的预提交钩子（pre-commit）或持续集成（CI）服务器（如Jenkins、GitHub Actions）中集成AI审查步骤。当开发者提交代码时，自动对变更的文件进行安全分析，如果发现高危漏洞，则阻止合并请求并给出报告。

GitHub Actions 集成示例概念： 

# .github/workflows/ai-code-review.yml
name: AI Security Code Review
on: [pull_request]
jobs:
  security-review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Set up Python
        uses: actions/setup-python@v4
        with:
          python-version: '3.10'
      - name: Run AI Security Auditor
        env:
          OPENAI_API_KEY: ${{ secrets.OPENAI_API_KEY }}
        run: |
          python auditor.py --changed-files ${{ github.event.pull_request.changed_files }} > report.md
          # 解析report.md，如果发现高危漏洞，则以失败状态退出

6. 局限性、挑战与最佳实践

尽管前景广阔，但当前AI在编写安全代码方面仍存在局限，需谨慎使用。

6.1 主要局限性

  1. “幻觉”问题 ：AI可能生成看似合理但实际错误或不存在的API、库函数或安全建议。 必须对生成的代码进行严格测试和人工复核。
  2. 上下文长度限制 ：大模型有token数限制，无法一次性分析非常庞大的代码库。
  3. 知识滞后性 ：模型训练数据有截止日期，可能不了解最新的漏洞（0-day）或安全库版本。
  4. 成本与延迟 ：频繁调用GPT-4等高级模型API会产生费用，且网络请求会带来延迟，不适合对实时性要求极高的场景。
  5. 安全与合规风险 ：将公司代码发送到外部API存在潜在的数据泄露风险。务必使用企业级方案（如Azure OpenAI）或部署本地模型。

6.2 工程化最佳实践

  1. 人机协同，而非取代 ：AI是强大的辅助工具，但决策权和最终责任仍在人类开发者。AI提供建议，人类负责判断和采纳。
  2. 分层防御 ：AI安全审查应作为安全防线的一环，与SAST、DAST（动态应用安全测试）、人工渗透测试等传统手段结合，形成纵深防御体系。
  3. 提示词版本化与管理 ：将效果好的安全审查提示词、代码生成提示词进行版本化管理，像管理代码一样管理它们，持续迭代优化。
  4. 构建专属知识库 ：针对企业特定的技术栈、框架和内部安全规范，构建向量化知识库，通过RAG增强AI的领域特异性。
  5. 结果可解释性 ：要求AI在输出安全建议时，必须附带原理说明和参考依据（如指向CWE编号），方便开发者理解和学习。
  6. 沙盒环境测试 ：在安全的隔离环境中运行AI生成的代码，验证其功能和安全性能，再集成到主项目。

7. 未来展望与学习路径

AI for Security Code是一个快速发展的领域。未来，我们可能会看到：

  • 更专业的垂直模型 ：专门针对代码安全微调的小型、高效模型。
  • 深度IDE集成 ：AI助手能理解整个项目上下文，提供跨文件的安全影响分析。
  • 自动修复（Autofix） ：从识别漏洞到自动生成Pull Request进行修复的全自动化流程。

对于开发者而言，可以遵循以下学习路径：

  1. 基础入门 ：掌握OpenAI API的基本调用，学习提示工程的基本技巧。
  2. 安全知识深化 ：系统学习OWASP Top 10、CWE/SANS Top 25等安全知识体系，这是与AI有效对话的基础。
  3. 工具开发实践 ：模仿本文的案例，动手打造自己的代码安全审查脚本或简单插件。
  4. 进阶集成 ：学习如何将AI工具集成到CI/CD流水线，实现自动化安全门禁。
  5. 关注前沿 ：持续关注开源社区（如使用CodeQL、Semgrep等工具结合AI的项目）和学术界在AI安全编码方面的最新进展。

将AI大模型的能力引入软件开发的安全环节，是一场深刻的效率革命。它并非要替代安全工程师，而是将其从重复性的模式识别中解放出来，专注于更复杂的威胁建模和架构评审。作为开发者，主动拥抱并善用这一工具，意味着你不仅能写出更健壮的代码，更是在构建面向未来的、人机协同的现代化安全开发体系。

Logo
亚马逊云科技技术品牌专区

更多推荐

open-code-review Codex 插件教程：对话式调用评审技能指南

本文是一份面向新手的 **open-code-review Codex 插件教程**，教你在 Codex 中通过对话式方式调用 open-code-review 的 AI 代码评审技能。open-code-review 是阿里巴巴开源的 AI 代码评审工具，采用"确定性流水线 + LLM Agent"混合架构，内置多语言评审规则（NPE、线程安全、XSS、SQL 注入等），可在 Codex 里用一

avatar 亚马逊云科技技术品牌专区

OBS Studio 完整指南：免费开源录屏与直播软件从零上手

想做一场像模像样的直播，或者把屏幕内容录成教程视频，但一想到商用软件的订阅费就有些犹豫？其实你不需要花一分钱。OBS Studio 是一款免费开源的直播与录屏软件，支持 Windows、macOS 和 Linux，采集、混音、编码、推流、录制，一条流水线全包了。## 先搞清楚 OBS Studio 是什么OBS Studio 是一个"场景化"的采集合成工具：你把摄像头、窗口、浏览器、图片、

avatar 亚马逊云科技技术品牌专区

如何用MediaCrawler爬取小红书抖音数据？7大平台爬虫从安装到实战完整指南

MediaCrawler 是一个支持小红书、抖音、快手、B站、微博、百度贴吧、知乎的开源自媒体数据采集工具。它能按关键词、按帖子、按创作者主页三种方式抓取笔记/视频内容、评论甚至二级评论，并把结果存成 JSON、CSV、Excel 或数据库。适合做市场调研、竞品监控、内容选题的运营人员，以及想要现成爬虫框架而不想从零写 JS 逆向的开发者。## 从一次"手动抄数据"说起想象这个场景：你负责

avatar 亚马逊云科技技术品牌专区