Skylos

开源、本地优先，在代码合并前检查死代码、安全问题、密钥、质量回归和 AI 代码错误。

官网 | 文档 | 快速开始 | GitHub Action | VS Code 扩展 | 基准测试 | 贡献指南

English | Deutsch | 简体中文 | 其他翻译

Skylos 是一款面向 Python、TypeScript、JavaScript、Java、Go、PHP、Rust、Dart、C# 和 Shell 仓库的开源静态分析 CLI。它默认在本地运行，也可以作为 CI/CD PR 门控使用。

如果你使用 Vulture 检测死代码、Bandit 做安全检查，或使用 Semgrep、CodeQL、GitHub Advanced Security 做 CI 门控，Skylos 可以作为补充：它更关注框架感知的死代码检测、差异感知的回归检查，以及适合 PR 审查的反馈。

pip install skylos
skylos .

加入安全、密钥、质量和依赖检查：

skylos . -a

生成 GitHub Actions PR 门控：

skylos cicd init
git add .github/workflows/skylos.yml
git commit -m "Add Skylos CI gate"
git push

需要更多命令？阅读 CLI Reference。

查看完整 Rules Reference。

• 框架感知的死代码检测： 理解 FastAPI、Django、Flask、pytest、SQLAlchemy、Next.js、React、包入口点和常见插件模式。
• 面向 CI/CD 的工作流： 本地运行、PR 门控、GitHub diff 注释，并通过基线控制历史问题。
• 默认本地优先： 核心静态分析不需要云端上传，也不需要 LLM 调用。
• 面向 AI 时代的回归检查： 捕获 AI 辅助编辑中被移除的验证、认证、日志、CSRF、限流等控制。
• 统一命令入口： 死代码、安全、密钥、质量、技术债务、Agent 审查和 AI 防御都在同一个 CLI 下。

# 核心静态分析
pip install skylos

# LLM Agent 工作流
pip install "skylos[llm]"

# 通过 `skylos lint` 使用 Ruff Python lint
pip install "skylos[lint]"

# 所有已发布的可选 extras
pip install "skylos[all]"

容器镜像：

docker pull ghcr.io/duriantaco/skylos:latest
docker run --rm -v "$PWD":/work -w /work ghcr.io/duriantaco/skylos:latest . --json --no-provenance

源码安装、容器使用和可选依赖请看 Installation。

规则族和扫描范围请看 Rules Reference。

Skylos 有已提交的死代码、安全、质量和 Agent 审查回归基准。这些是严格的回归门控，不代表任何工具在所有场景下都是绝对 SOTA。

冻结的 golden-v0.2 重点结果：

方法论、命令、竞品行和 caveats 请看 BENCHMARK.md。

Skylos 辅助的死代码清理 PR 已被 Black、 NetworkX、 Optuna、 mitmproxy、 pypdf、 beets 和 Flagsmith 合并。这些是已被接受的清理 PR，不代表相关项目背书。详见 Real-World Results。

2026 年 4 月 26 日，本地 Astronomer 扫描统计 420 个 stargazer，返回 overall trust: A。StarGuard 同时报告 low fake-star risk。

Skylos 会替代 Bandit、Semgrep、CodeQL 或 Vulture 吗？

不会。Skylos 可以和它们一起使用。Skylos 更关注框架感知的死代码信号、PR 门控、AI 时代的回归检查，以及把死代码、安全、密钥和质量整合到一个工作流。

Skylos 需要 LLM 吗？

不需要。核心静态分析在本地运行，不需要 API key。LLM 功能是可选的，通过 skylos[llm] 和 agent 命令使用。

Skylos 会替代 Ruff 吗？

不会。skylos lint 是一个委托给 Ruff 的可选命令入口。使用 pip install "skylos[lint]" 安装；普通 Skylos 扫描不会运行 Ruff。

可以只扫描变更代码吗？

可以。本地使用 skylos . -a --diff origin/main，或者在 CI 中配置只关注新发现。

如何处理有意的动态代码？

使用基线、白名单、内联抑制或运行时追踪。参见 configuration docs 和 smart tracing docs。

• 安全问题请通过 SECURITY.md 报告。
• Bug 和误报请附带最小复现。
• 发送 PR 前请阅读 CONTRIBUTING.md。
• 项目质量和门控要求请看 QUALITY.md。
• 社区支持请加入 Discord。

Skylos 使用 Apache License 2.0。