🛠️ 免費工具庫
🛡️ DevSkim
Microsoft 官方免費開源掃描工具，寫程式的當下就把有風險的寫法標出來，不用等到提交才發現。
2 分鐘閱讀
📅 發布：2026-08-26 ｜ 🔄 最後更新：2026-08-26
一句話定位：編輯器裡的即時資安檢查器 — 寫 code 的當下就標出風險寫法
為什麼用
資安漏洞如果等到提交（commit）才被抓到，代價已經比較高：你可能已經忘記那段程式碼的上下文，或已經把它推上去給別人看過。DevSkim 是一組 IDE 外掛與語言分析器，直接在編輯器裡即時掃描，寫程式的當下就把不安全的寫法（明文密碼、不安全的加密方式、可能有漏洞的函式呼叫等）標出來。
Microsoft 官方出品，免費開源（MIT 授權），VS Code、Visual Studio 都有外掛，也有可以獨立跑的指令列版本。
Cassie 怎麼用
她把 DevSkim 當作系統資安防護的第一層：寫 code 的當下就標出風險，不用等到提交才發現。跟另一個免費工具 Microsoft Security DevOps 搭配，形成兩層保險 — 本機即時標記 + 雲端推送再掃一次，就算本機的檢查被繞過，推上 GitHub 時還會再擋一次。
對位 Cassie 系統
| 用途 | 對應方式 |
|---|---|
| 寫 code 時即時抓風險寫法 | 對應 flow-security-check skill 的本機防護層 |
| commit 前的資安掃描 | 補在 Karpathy 四原則「寫 code MANDATORY」流程的前段 |
| 對外程式碼交付前複查 | 搭配 security-review skill 一起用 |
安裝
VS Code 擴充（最常用）
在 VS Code 裡按 Cmd+Shift+X 開擴充頁面，搜尋「DevSkim」，或直接執行：
ext install ms-cst-e.vscode-devskim指令列版本（需要先裝 .NET SDK）
第一次看到 SDK，可先看SDK 的白話解釋。
dotnet tool install --global Microsoft.CST.DevSkim.CLI不會打指令？複製這句話給你的 AI 員工（Claude Code）就好：
「幫我在 VS Code 裝 DevSkim 擴充，執行
ext install ms-cst-e.vscode-devskim；如果我有裝 .NET SDK，順便也裝指令列版本dotnet tool install --global Microsoft.CST.DevSkim.CLI。」
學員實戰範例
場景：不確定自己寫的程式碼有沒有資安漏洞
- 裝好 VS Code 擴充後，正常寫程式
- 寫到有風險的寫法（例如把 API 金鑰直接寫死在程式碼裡）時，編輯器裡會直接標紅提示
- 照提示修改，不用等到 commit 或找人 review 才發現
場景：想幫整個專案做一次資安健檢
- 裝好指令列版本後，跟 AI 員工說「幫我用 DevSkim 掃一遍這個專案」
- AI 員工在專案根目錄跑 DevSkim CLI 分析指令
- 拿到一份標出風險位置的清單，逐條處理
相關工具
- 🛡️ Microsoft Security DevOps — 課程裡跟 DevSkim 搭配介紹的雲端掃描工具，兩個一起用多一層保險
- 🛠️ 免費工具庫首頁 — 完整工具清單