Claude代码审计能力疑问

误报率高是正常的，这玩意儿做代码审计本质上就是在猜，靠的是统计规律不是真的理解代码逻辑。

几个实测有用的技巧：

1. 喂的上下文决定下限。别直接甩一个文件夹让它全盘扫，先把技术栈、框架版本、审计目标说清楚。比如"这是PHP 7.4的ThinkPHP项目，主要关注SQL注入和RCE路径"，它踩坑的概率会低很多。

2. 拆任务，别让它自己规划。让它一次看一个功能点、一个API接口，别指望它自动梳理完整调用链——它记不住那么长的上下文，中途就开始胡编。

3. 结果别直接信，二次验证才是正事。它报出来的"漏洞"大概率是模式匹配出来的，自己grep确认一遍，比花时间纠结它说得对不对效率高得多。

4. 用它来找污点传播路径，而不是定性漏洞。比如你想知道某个用户输入是怎么流到SQL查询里的，让它画个简化的数据流，比让它直接说"这里有注入"有用得多。

说白了：它是个高级grep+翻译器，不是安全专家。期望值放低点，拿来辅助效率提升可以，靠它独立完成任务还差点意思。