AI 自动生成 Git patch 修复 SAST 告警，告别逐条手工排查

传统的安全工具（如 SonarQube 或 Snyk）擅长做一件事：一次性抛出 200 条警告，其中一半是误报，然后丢给你自己去手动排查。

我希望自己的项目能有一个更快、更可操作的安全工作流。我不想要一个只标注行号并说"这里可能有内存泄漏"的工具，而是想要一个能生成精确的 .patch diff 文件的工具，我可以几秒钟内审查并应用。

于是我构建了 BugZ AI——一个开源的漏洞扫描器 + 自动修补引擎。

架构与技术栈

为了让 UI 保持实时、流畅，同时 LLM 处理代码库文件，我使用了以下技术栈：

• 前端：Next.js（App Router）+ Tailwind CSS，打造深色主题、终端风格的 UI。
• 后端与数据库：Convex。用它来处理实时扫描状态更新和向 UI 推送执行日志，而无需手动管理 WebSockets，简直太优雅了。
• 认证：Clerk，实现零摩擦的用户管理。
• AI 引擎：Gemini / OpenAI API，强制结构化 JSON 输出，保证生成有效的统一 Git patch 语法。

核心挑战：生成有效的 Git Patch

让 LLM 解释一个 bug 很容易。但让 LLM 生成一个语法正确的 .patch 文件（git apply 不会拒绝的那种）才是难的部分。

为此，我的 Pipeline 做了三件事：

1. 解析原始 AST / 代码上下文。
2. 用严格的统一 diff 格式约束提示 LLM。
3. 在 UI 中展示 patch 文件之前，验证行数和块头（@@ -line,count +line,count @@）。

实际效果

当你把一个仓库导入 BugZ 或粘贴代码片段时：

• 它会运行深度安全审计，查找异步状态 bug、未处理的 API 边界情况或注入漏洞。
• 它将实时执行日志直接流式推送到仪表板。
• 它生成一个可执行的 .patch 文件，你可以并排审查或直接复制到终端。

试用与反馈

BugZ 目前处于早期 MVP 阶段。我很期待听到你的想法、bug 报告，或关于改进 patch 语法生成的建议！

• 在线演示：bugz-ai.vercel.app
• 技术栈亮点：Next.js、Convex、Clerk、Tailwind、AI APIs

欢迎在评论区留言！你希望在日常开发工作流中拥有哪些 SAST 工具功能？