用 Claude Code Agent Teams…

需要本地静态审计微信小程序反编译目录，并系统查找敏感信息、API 端点、加密问题和七类漏洞时使用。

适用场景

解决思路

1. 准备支持 Agent Teams/Skill 的 Claude Code CLI 环境。
2. 安装 Python 3.x，仅使用标准库，不安装外部依赖。
3. 在 Windows 平台运行，因为当前版本依赖 unveilr.exe。
4. 克隆仓库到 Claude Code Skills 目录：git clone https://github.com/sssmmmwww/wxmini-security-audit.git；cd wxmini-security-audit。
5. 从 unveilr 项目获取 unveilr.exe，并放到 tools/ 目录，确认路径为 tools/unveilr.exe。
6. 确认目录结构包含 SKILL.md、agents/agent-01-decompiler.md 到 agents/agent-07-custom-analyzer.md、tools/unveilr.exe、tools/scripts/endpoint_extractor.py、tools/scripts/secret_scanner.py。
7. 基本审计：向 Claude Code 提供微信小程序目录路径，例如「Audit this WeChat mini program D:\wechat\miniapp\wxapkg_files」或「Analyze this mini program for security issues C:\miniprogram\target」。
8. 聚焦分析：在提示中指定端点，例如「Audit this mini program D:\wxapp, focus on the /api/user/login endpoint」，以触发第 2.5 阶段自定义分析。
9. 聚焦漏洞类型：在提示中说明关注点，例如「Scan D:\wxapp for vulnerabilities, particularly payment security and privilege escalation」。
10. 结合外部工具上下文：提供代理拦截信息，例如「Analyze this mini program D:\wxapp, Burp Suite captured the /api/pay endpoint with a tamperable amount parameter」。
11. 执行阶段 0：解析用户意图，提取目标路径，创建输出目录，解析需求。
12. 执行阶段 1：用 unveilr.exe 处理 wxapkg 文件，反编译并生成 file_inventory.json 文件清单。
13. 执行阶段 1.5：运行 Python 正则预扫描，提取原始端点和敏感信息。
14. 手动调试阶段 1.5：运行 python tools/scripts/endpoint_extractor.py D:\decompiled_output wxaudit-output/raw_endpoints.json，以及 python tools/scripts/secret_scanner.py D:\decompiled_output wxaudit-output/raw_secrets.json。
15. 执行阶段 2：并行运行 4 个分析 agent：SecretScanner、EndpointMiner、CryptoAnalyzer、VulnAnalyzer。
16. 执行阶段 2.5：仅当用户指定特定端点或参数时，触发 CustomAnalyzer 做深度自定义分析。
17. 执行阶段 3：汇总发现，生成结构化报告。
18. 在 wxaudit-output/ 查看输出：security_report.md、api_endpoints_full.md、secrets_full.md、findings.json、domains.txt、endpoints_fuzz.txt、file_inventory.json、raw_endpoints.json、raw_secrets.json、secrets_report.json、api_endpoints.json、crypto_analysis.json、vuln_analysis.json、custom_analysis.json（条件生成）。
19. 使用 tools/scripts/endpoint_extractor.py：遍历 source_dir，只处理 .js 和 .json 文件，逐行按 patterns 匹配完整 URL、wx.request 的 url、通用 url 赋值、/api/ 路径片段、baseURL 配置。
20. endpoint_extractor.py 为每个匹配输出 {pattern, value, file, line, context} 字典并写入 JSON。
21. 使用 tools/scripts/secret_scanner.py：遍历 source_dir，只处理 .js、.json、.xml 文件，逐行按 SECRET_PATTERNS 匹配 api_key、access_token、secret、password、private_key、ip_internal、phone、id_card、email、debug_flag。
22. secret_scanner.py 为每个匹配输出 {type, value, file, line, context, severity}，并调用 classify_severity 分级：private_key、secret、api_key 为 CRITICAL；access_token、password 为 HIGH；ip_internal、debug_flag 为 MEDIUM；其余为 LOW。
23. 配置 Agent 02 SecretScanner：输入 file_inventory.json 和 raw_secrets.json；加载 raw_secrets.json；过滤误报（占位符如 YOUR_API_KEY、example.com，注释和文档，测试/demo 标记）；按严重性分类真实发现；生成上下文风险评估。
24. Agent 02 输出 secrets_report.json，包含 valid_findings、false_positives、summary（total_raw、valid、critical、high、medium）。valid_findings 字段包含 type、value（以 [REDACTED] 表示）、file、line、severity、reasoning、recommendation。
25. 配置 Agent 03 EndpointMiner：输入 file_inventory.json 和 raw_endpoints.json；按 BaseURL 分组；从片段重建完整 API URL；从 wx.request 上下文识别请求方法；把端点映射到源文件；标记可疑模式（内网 IP、非 HTTPS、URL 中硬编码凭据）。
26. Agent 03 输出 api_endpoints.json，包含 domains、endpoints（method、url、base、path、source_file、line、params、security_notes）。
27. 配置 Agent 05 VulnAnalyzer：按七个维度分析漏洞：1）认证与授权：localStorage 中 token 存储、会话管理缺陷、缺失认证检查；2）数据安全：日志敏感数据、未加密存储、PII 暴露；3）注入漏洞：SQL 注入向量、XSS 可能、命令注入；4）权限提升：RBAC 绕过、用户 ID 篡改风险；5）支付安全：金额篡改可能、订单校验缺口；6）信息泄露：错误消息暴露内部结构、生产 debug 模式、版本披露；7）配置安全：不安全默认设置、缺失安全头、弱加密算法。
28. Agent 05 输出 vuln_analysis.json，按维度和严重性分类发现。
29. 常见模式 1：基本目录审计，例如「Audit this WeChat mini program D:\projects\wxapp」，执行完整 6-phase pipeline，输出 wxaudit-output/ 中的 14 个文件。
30. 常见模式 2：定向端点分析，例如「Analyze D:\wxapp, focus on /api/payment/submit」，触发 Phase 2.5 CustomAnalyzer，输出包含 custom_analysis.json 的支付端点深入分析。
31. 常见模式 3：与 Burp Suite 集成，例如「Audit D:\wxapp, Burp found /api/user/profile returns other users' data when changing uid parameter」，把发现关联到已提取端点，并在 vuln_analysis.json 的 Privilege Escalation 中标记。
32. 排查 unveilr.exe not found：下载 unveilr.exe 放到 tools/，用 ls tools/unveilr.exe 验证。
33. 排查 raw_endpoints.json 无端点：源目录可能只有编译后的 wxapkg，确保 Phase 1 的 agent-01-decompiler 成功；检查 file_inventory.json 中 .js 文件：cat wxaudit-output/file_inventory.json | grep ".js"。
34. 排查 secrets_full.md 误报率高：这是双层架构预期，脚本保留所有发现，Agent-02 在 secrets_report.json 中过滤；用 cat wxaudit-output/secrets_report.json | jq '.summary' 检查有效发现。
35. 排查自定义分析未触发：在提示中明确提及目标区域，例如「Analyze D:\wxapp, investigate the /api/order/create endpoint and its amount parameter」。
36. 排查 Phase 1.5 脚本执行错误：直接运行 Python 脚本调试：python tools/scripts/endpoint_extractor.py D:\decompiled_output wxaudit-output/raw_endpoints.json；python tools/scripts/secret_scanner.py D:\decompiled_output wxaudit-output/raw_secrets.json。
37. 遵守安全约束：不进行网络活动，不在本地验证提取的 secrets/tokens；不生成攻击代码、PoC 或自动化攻击脚本；只读源目录、只写输出目录；无遥测、无外部上传、全本地处理。
38. 无需环境变量，所有配置在 agents/ 下的 prompt 文件中。
39. 自定义 agent 行为：编辑对应 .md 文件，例如 vim agents/agent-02-secret-scanner.md，修改误报过滤规则。
40. 扩展自定义漏洞规则：在 agent-05-vuln-analyzer.md 增加项目特定模式，例如业务逻辑缺陷：检查折扣码叠加、优惠券过期执行、库存扣减时机。
41. 集成 CI/CD：在 GitLab CI 中运行 claude-code execute-skill wxmini-security-audit "Audit ./decompiled_app"，然后 cat wxaudit-output/findings.json | jq '.summary.critical' | grep -q '^0$' || exit 1。
42. 批量分析：for dir in ./mini-programs/*/; do claude-code execute-skill wxmini-security-audit "Audit $dir"; mv wxaudit-output "results/$(basename $dir)-audit"; done。

适用边界 · 注意事项

• 没有 Claude Code CLI、Agent Teams/Skill 支持时。
• 没有 unveilr.exe、非 Windows 平台，或目标不是微信小程序/wxapkg 反编译目录时。
• 需要动态验证、网络请求、实际利用/PoC，或验证 secrets/tokens 有效性时；该技能是纯静态分析，不联网且不生成攻击代码。