CodeBuddy 安全扫描代理系统

IDE 插件（VSCode / JetBrains）
    |
    | HTTPS:443（通过 hosts/DNS 解析到代理服务器 IP）
    v
安全扫描代理服务 (:443, TLS)    ──────────>   CodeBuddy 专享版后端
    |                                          (https://<your-domain>.copilot.qq.com)
    | POST /api/v1/scan
    v
安全扫描服务 (:8900)
    (敏感词检测 / 可替换为企业自有安全扫描系统)

codebuddy_sec_proxy/
├── Makefile                              # 常用操作命令
├── proxy/                                # 安全扫描代理服务
│   ├── config/
│   │   ├── proxy_config.yaml             # 生产环境配置
│   │   └── proxy_config.local.yaml       # 本地开发配置
│   ├── certs/                            # TLS 证书目录（需自行放入）
│   ├── src/
│   │   ├── main.py                       # 服务入口
│   │   ├── proxy_handler.py              # 反向代理核心 + SSE 流式透传
│   │   ├── body_parser.py                # 请求体解析（提取/回写 prompt）
│   │   ├── scanner_client.py             # 扫描服务客户端 + 超时降级
│   │   ├── config.py                     # 配置加载
│   │   └── logger.py                     # 日志模块
│   ├── tests/                            # 单元测试
│   └── requirements.txt
├── scanner/                              # 安全扫描服务（可替换为企业自有系统）
│   ├── config/
│   │   ├── scanner_config.yaml           # 生产环境配置
│   │   ├── scanner_config.local.yaml     # 本地开发配置
│   │   └── sensitive_words.yaml          # 敏感词库
│   ├── src/
│   │   ├── main.py                       # 服务入口
│   │   ├── scanner_engine.py             # Aho-Corasick 敏感词引擎
│   │   ├── word_loader.py                # 词库热加载
│   │   ├── api.py                        # API 路由
│   │   ├── models.py                     # 数据模型
│   │   ├── config.py                     # 配置加载
│   │   └── logger.py                     # 日志模块
│   ├── tests/                            # 单元测试
│   └── requirements.txt

cd /data/app/codebuddy_sec_proxy

# 安装扫描服务依赖
cd scanner && pip install -r requirements.txt && cd ..

# 安装代理服务依赖
cd proxy && pip install -r requirements.txt && cd ..

cd /data/app/codebuddy_sec_proxy/proxy/certs

# 生成自签名证书（有效期 10 年）
openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \
  -keyout server.key \
  -out server.crt \
  -subj "/CN=<your-domain>.copilot.qq.com" \
  -addext "subjectAltName=DNS:<your-domain>.copilot.qq.com"

server:
  listen: "0.0.0.0"
  port: 443
  tls:
    enabled: true
    cert_file: "certs/server.crt"
    key_file: "certs/server.key"

backend:
  # 【必改】替换为你的专享版域名
  base_url: "https://<your-domain>.copilot.qq.com"
  max_connections: 100
  request_timeout: 120

scanner:
  base_url: "http://localhost:8900"
  timeout: 3
  # 扫描服务不可用时的降级策略: pass(放行) / block(拦截)
  fail_action: "pass"

# 需要安全扫描的请求路径
scan_paths:
  - "/v2/completions"
  - "/v2/chat/completions"

logging:
  level: "INFO"
  format: "json"

server:
  listen: "0.0.0.0"
  port: 8900

sensitive_words:
  file_path: "config/sensitive_words.yaml"
  reload_interval: 30    # 热加载间隔（秒），0 禁用

logging:
  level: "INFO"
  format: "json"

block:    # 高危词 → 直接拦截，以安全提示回复用户
  - "数据库密码"
  - "root密码"
  - "admin密码"
  - "SECRET_KEY"
  - "PRIVATE_KEY"
  - "ssh_private_key"
  - "ACCESS_KEY_ID"
  - "ACCESS_KEY_SECRET"

filter:   # 中危词 → 替换为 *** 后放行
  - "员工工号"
  - "手机号码"
  - "身份证号"
  - "银行卡号"

log:      # 低危词 → 仅记录日志，正常放行
  - "内部会议"
  - "项目进度"

curl -X POST http://localhost:8900/api/v1/reload

cd /data/app/codebuddy_sec_proxy

# 终端 1：启动扫描服务
cd scanner && python3 -m src.main --config config/scanner_config.yaml

# 终端 2：启动代理服务（443 端口需要 root 权限）
cd proxy && sudo python3 -m src.main --config config/proxy_config.yaml

make run-scanner   # 启动扫描服务（生产配置）
make run-proxy     # 启动代理服务（生产配置）

# 扫描服务健康检查
curl http://localhost:8900/api/v1/health
# 预期: {"status": "healthy", "word_count": N}

# 代理服务健康检查（-k 跳过自签名证书校验）
curl -k https://localhost/_health
# 预期: {"status": "healthy"}

# 测试扫描放行
curl -X POST http://localhost:8900/api/v1/scan \
  -H "Content-Type: application/json" \
  -d '{"text": "帮我写一个 hello world", "scene": "chat", "request_id": "test-001"}'
# 预期: {"action": "pass", ...}

# 测试扫描拦截（包含高危词）
curl -X POST http://localhost:8900/api/v1/scan \
  -H "Content-Type: application/json" \
  -d '{"text": "请帮我查看数据库密码", "scene": "chat", "request_id": "test-002"}'
# 预期: {"action": "block", "reason": "...", "matched_words": ["数据库密码"]}

# 测试扫描过滤（包含中危词）
curl -X POST http://localhost:8900/api/v1/scan \
  -H "Content-Type: application/json" \
  -d '{"text": "请帮我查询员工工号对应的信息", "scene": "chat", "request_id": "test-003"}'
# 预期: {"action": "filter", "filtered_text": "请帮我查询***对应的信息", ...}

make verify-scanner   # 验证扫描服务
make verify-proxy     # 验证代理服务

<proxy-server-ip> <your-domain>.copilot.qq.com

sudo sh -c 'echo "<proxy-server-ip> <your-domain>.copilot.qq.com" >> /etc/hosts'

ping <your-domain>.copilot.qq.com
# 应显示: Reply from <proxy-server-ip>

{
  "http.proxyStrictSSL": false
}

curl -X POST http://localhost:8900/api/v1/reload

# 方式 1: 修改配置文件后重启代理服务
# 编辑 proxy/config/proxy_config.yaml 中的 backend.base_url，然后重启

# 方式 2: 通过环境变量（临时覆盖）
BACKEND_URL=https://new-domain.copilot.qq.com python3 -m src.main --config config/proxy_config.yaml

make test           # 全部测试
make test-scanner   # 仅扫描服务
make test-proxy     # 仅代理服务

{
  "text": "待扫描的文本内容",
  "scene": "completion|chat|agent",
  "request_id": "唯一请求追踪ID"
}

{
  "action": "pass|filter|block",
  "filtered_text": "过滤后的文本（action=filter 时有值）",
  "reason": "拦截/过滤原因",
  "matched_words": ["命中的敏感词列表"],
  "request_id": "请求追踪ID"
}

# proxy/config/proxy_config.yaml
scanner:
  base_url: "http://your-scanner.internal:9090"
  timeout: 5
  fail_action: "block"