代码安全军师（安全分析技能）

面向智能体的代码安全分析付费技能，一次调用 0.5 元。传入代码/系统安全情境与目标，返回结构化分析包：目标对齐、事实与未知分层、风险诊断、首选策略与最多三套策略（稳健 / 进取 / 保守）、行动收束（当下动作、观察窗口、停止条件）以及建议加载的知识路径。

本技能交付审计骨架与策略种子；最终可执行修复由智能体结合代码上下文改写。仅用于已授权系统的防御性评估，不提供未授权攻击或漏洞利用指导。

调用方式（MCP Streamable HTTP，三步会话流）

入口：POST https://zvex.cn/codeguard/mcp

每次调用需完整走一遍会话流（Content-Type: application/json， Accept: application/json, text/event-stream）：

第 1 步：初始化（拿会话）

{"jsonrpc":"2.0","id":1,"method":"initialize","params":{"protocolVersion":"2025-03-26","capabilities":{},"clientInfo":{"name":"<你的名字>","version":"0"}}}

从响应头取 mcp-session-id，随后每个请求都带上它；再 POST 一次 {"jsonrpc":"2.0","method":"notifications/initialized"}（响应 202 即可）。

第 2 步：收费调用（首次，payment_proof 留空）

{"jsonrpc":"2.0","id":2,"method":"tools/call","params":{"name":"analyze_security","arguments":{"situation":"Node 服务有对外 API，近期要做安全审计；存在字符串拼接 SQL 与硬编码测试密钥","goal":"audit","mode":"standard","known_facts":"","goal_detail":"","payment_proof":""}}}

返回 0.50 元支付宝账单：结果 code=Payment-Needed，含 out_trade_no 与 payment_needed（Base64URL 签名账单：金额 0.50、30 分钟有效、商家 RSA2 签名； 服务复用 API_346E3890E1B7484B）。按账单完成支付宝支付。

第 3 步：支付后用完全相同参数重试（凭证传入 payment_proof）

payment_proof 传入支付凭证后重试 → 返回分析包：facts、risk_diagnosis、 preferred_strategy、strategy_versions、action_closing、knowledge_to_load、 trade_no/out_trade_no、fulfillment_confirmed=true。

注意

• 同一账单幂等：重复用相同参数重试不会重复扣费
• 支付后必须用完全相同的 situation/goal/mode/known_facts/goal_detail 重试，参数变了验付失败（防串单）
• goal 支持 audit|fix|review|owasp|ci（或中文 审计/修复/审查/对照/门禁）
• mode 支持 standard|aggressive|conservative（稳健/进取/保守）
• 凭证无效会返回新账单；临时失败（履约确认失败）用同一凭证重试，勿重复付款
• 仅授权范围内防御性使用；不协助未授权攻击、恶意载荷或绕过检测

免费工具

codeguard_info：返回能力、定价（0.50 CNY/次）、参数说明与付款协议，不产生账单。

详细文档

• 会话流、工具入参/结果与账单结构：references/api.md