# مراجعة الأمان في Claude Code: دليل خطوة بخطوة وأتمتة GitHub Action في 2026 > كيفية التحقق من أمان مشروع vibe باستخدام /security-review في Claude Code. خطوات الإعداد، وقالب GitHub Action، و6 أنواع من الثغرات، والقيود بكل صراحة. Source: https://ailoot.ai/blog/ar/claude-code-security-review/ Canonical: https://ailoot.ai/blog/ar/claude-code-security-review/ Language: ar Publisher: Ailoot (https://ailoot.ai/) Translation: guide-212 Revision: sha256-a4d407907ebef01a0666a379a93df9c7fc9c558389185a3df5a50d914bd0348e يصف مؤلف المادة الأصلية تجربته: «شغّلت للتو security-review على مشروع vibe الخاص بي، وعثر الفريق في 4 دقائق على عدة مشكلات حقيقية جرى إصلاحها بالفعل». هذا هو العمل نفسه الذي كان يستغرق يومًا من مستشار خارجي. تتوفر مواد إضافية حول إعداد الأدوات في [وثائق Ailoot](https://ailoot.ai/docs/).
[أدلة Ailoot](https://ailoot.ai/docs/)
## ما المقصود بـ /security-review في Claude Code؟
أبرز النقاط `/security-review` أمر مدمج في Claude Code يجري تحليلًا أمنيًا للمشروع بأكمله أو للتغييرات الحالية مباشرة من الطرفية. أطلقته Anthropic في 20 فبراير 2026 ضمن Claude Code Security وأتاحته لجميع مستخدمي Pro وMax وAPI Console. تُخصم تكلفة الطلب من رصيد Claude API المعتاد.
يعمل الأمر بطريقتين. محليًا: شغّل `/security-review` في الطرفية، وسيقرأ Claude المستودع وينشئ تقريرًا. وعلى الخادم: ثبّت المحرك نفسه باعتباره GitHub Action ليضيف تلقائيًا تعليقات مضمنة إلى كل Pull Request. على عكس أدوات SAST التقليدية (Snyk Code وSemgrep وSonarQube)، لا يعتمد `/security-review` على قواعد ثابتة. بل يقرأ الشيفرة كما يفعل مهندس مباشر: يتتبع تدفق البيانات، ويفهم إطار العمل الذي تستخدمه ومواضع حدود الثقة، ويكتشف ثغرات لا تصفها قاعدة محددة.

يقرأ Claude Code Security شيفرتك ويفكر فيها كما يفعل باحث أمن بشري: يفهم تفاعل المكونات، ويتتبع انتقال البيانات عبر التطبيق، ويكتشف ثغرات معقدة تفوتها الأدوات القائمة على القواعد.

— Anthropic, https://www.anthropic.com/news/claude-code-security
هذا لا يعني أن `/security-review` يحل محل اختبار اختراق خارجي أو اختبار مباشر في بيئة staging. يمكن أتمتة جزء من مراجعة الشيفرة الأولية، لكن المقال لا يقيس حصة تغطية التدقيق. سأشرح أدناه طريقة تشغيله بالشكل الصحيح وما الذي سيكتشفه Claude في مشروعك. ## كيف تشغّل /security-review في 5 خطوات؟
أبرز النقاط حدّث Claude Code إلى أحدث إصدار، وافتح المشروع في الطرفية، وشغّل `/security-review`، وانتظر التقرير (من 1 إلى 5 دقائق للمشروع المتوسط)، واقرأ أحكام الخطورة، ثم اطلب من Claude تطبيق الإصلاحات. يعمل الأمر مع أي حزمة تقنية: Next.js وDjango وFastAPI وRails وGo وRust. ولا يتطلب إعدادًا خاصًا.
**الخطوة 1. حدّث Claude Code.** يعمل الأمر بدءًا من الإصدار المؤرخ في 20 فبراير 2026. ```bash claude update ``` إذا ثبّت Claude Code عبر npm، يمكنك أيضًا تنفيذ الأمر التالي: ```bash npm install -g @anthropic-ai/claude-code@latest ``` تحقق من ظهور `/security-review`: ```bash claude /help | grep security ``` **الخطوة 2. افتح المشروع وسجّل الدخول إلى Claude Code.** ```bash cd ~/projects/my-vibe-project claude ``` **الخطوة 3. شغّل الأمر.** داخل Claude Code، أدخل ببساطة: ``` /security-review ``` ينفّذ Claude تلقائيًا 3 مراحل للتحليل: 1. **بحث سياق المستودع** - يقرأ البنية ويحدد الحزمة التقنية والمسارات واستعلامات قاعدة البيانات. 2. **التحليل المقارن** - يقارن الحالة الراهنة بأنماط الثغرات المعتادة لهذه الحزمة التقنية. 3. **تقييم الثغرات** - يسرد كل موضع اشتباه مع مستوى ثقة على مقياس من 1 إلى 10. ولا تُدرج في التقرير إلا النتائج التي يبلغ مستوى الثقة فيها ≥ 8. **الخطوة 4. اقرأ التقرير.** يأتي الإخراج في جدول Markdown. ويقدم Claude لكل مشكلة ما يلي: - **الملف ورقم السطر** (مثل `src/auth/login.ts:42`) - **الخطورة** (HIGH / MEDIUM / LOW) - **الفئة** (`sql_injection`, `xss`, `auth_bypass`, `insecure_storage`) - **الوصف** - ما المشكلة - **سيناريو الاستغلال** - كيف يمكن لمهاجم استغلالها - **التوصية** - كيفية إصلاحها **الخطوة 5. اطلب منه تطبيق الإصلاحات.** بعد ذلك، يمكنك التعامل معه مثل أي وكيل عادي: > «طبّق الإصلاحات ذات الخطورة HIGH الواردة في التقرير، واحدًا تلو الآخر، مع وصف للـ PR.» سيفتح Claude كل ملف ويقترح تغييرًا، ثم تؤكده أنت. في مشروع حقيقي، أغلقت 5 نتائج خلال 40 دقيقة بدلًا من 3 ساعات كانت مقررة.
[أدلة Ailoot](https://ailoot.ai/docs/)
## ما الثغرات التي يكتشفها /security-review؟
أبرز النقاط يكتشف Claude 6 فئات: حقن SQL والحقن عمومًا، وXSS، ومشكلات المصادقة والتفويض، وتسرب البيانات الحساسة، والثغرات في الاعتماديات الخارجية، والأسرار المثبتة في الشيفرة. كما يستطيع الأمر التعامل مع منطق المصادقة الموزع على ملفات متعددة، وهو ما تعجز عنه الماسحات القائمة على القواعد.
ترد القائمة الكاملة لما يشمله التحليل افتراضيًا في [وثائق Anthropic الرسمية](https://support.claude.com/en/articles/11932705-automated-security-reviews-in-claude-code): | الفئة | ما الذي يبحث عنه | |----|----| | **حقن SQL** | دمج السلاسل النصية مباشرة في SQL، واستدعاءات ORM غير الآمنة (`raw()` من دون معلمات)، وPrisma `$queryRawUnsafe` | | **XSS** | العرض باستخدام `dangerouslySetInnerHTML` من دون تنقية، وأنظمة القوالب التي لا تجري escaping تلقائيًا، و`innerHTML` المأخوذ من مدخلات المستخدم | | **عيوب المصادقة** | الرموز القابلة لإعادة الاستخدام، وغياب فحوص الأذونات في مسارات API، وJWT من دون تاريخ انتهاء، وتثبيت الجلسة | | **التعامل غير الآمن مع البيانات** | التحقق من جانب العميل فقط، واستجابات تتضمن حقولًا إضافية (over-fetching)، وإعادة التوجيه المفتوحة | | **ثغرات الاعتماديات** | الإصدارات الضعيفة من حزم npm/pip/cargo، التي تُفحص عبر `npm audit` وما يعادله | | **الأسرار** | مفاتيح API المثبتة في الشيفرة، والرموز في `.env.example`، وكلمات المرور في الشيفرة | بالإضافة إلى ذلك، يغطي الأمر فئات نادرًا ما تكتشفها الماسحات الآلية: - **Command injection** - تنفيذ مدخلات المستخدم في shell (`child_process.exec(userInput)`) - **Path traversal** - تحميل ملف عبر `../../etc/passwd` - **XXE** - XML يتضمن كيانات خارجية - **Template injection** - ثغرات SSTI في Jinja/Handlebars/EJS - **NoSQL injection** - المعاملان `$ne` و`$gt` في استعلامات MongoDB - **إساءة استخدام التشفير** - استخدام MD5 أو نمط ECB أو IV ثابت يحدد Claude خطورة لكل نتيجة. والمقياس بسيط: - **HIGH** - استغلال عن بُعد من دون مصادقة، أو تسرب بيانات يؤثر في جميع المستخدمين - **MEDIUM** - استغلال يتطلب شروطًا إضافية (جلسة مطلوبة / مدخل محدد) - **LOW** - مسار محتمل، غير حرج الآن، لكنه يستحق الإصلاح من المفيد معرفة أن Claude **لا يبلغ** في الإعداد القياسي عن DoS أو تحديد معدل الطلبات أو استنزاف الذاكرة أو إعادة التوجيه المفتوحة من دون أثر مثبت أو حقن التعبيرات النمطية / ReDoS أو تزوير السجلات. هذا مقصود كيلا يغرقك بالضجيج. إذا كانت هذه الفئات مهمة، فوسّع القواعد (راجع قسم تصفية النتائج الإيجابية الكاذبة أدناه). ## كيف تُعد GitHub Action للمراجعة التلقائية؟
أبرز النقاط أصدرت Anthropic الإجراء الرسمي `anthropics/claude-code-security-review@main`. يُربط الإجراء بملف workflow واحد ويضيف تلقائيًا تعليقات مضمنة إلى كل Pull Request تتضمن الثغرات التي يجدها. اضبط `CLAUDE_API_KEY` وأذونات workflow. يحذر Action الرسمي من أنه غير محصن ضد حقن التعليمات وينبغي استخدامه لمراجعة PRs موثوقة؛ راجع وصول المساهمين ومسار العمل قبل تفعيله.
**الخطوة 1. احصل على مفتاح API.** انتقل إلى [console.anthropic.com](https://console.anthropic.com/)، وأنشئ مفتاح API وانسخه. **الخطوة 2. أضف المفتاح إلى أسرار المستودع.** في GitHub: Settings → Secrets and variables → Actions → New repository secret. سمّه `CLAUDE_API_KEY`، وأدخل مفتاحك كقيمة. **الخطوة 3. أنشئ ملف workflow.** احفظه باسم `.github/workflows/security.yml`: ```yaml name: Security Review permissions: pull-requests: write contents: read on: pull_request: jobs: security: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 with: ref: ${{ github.event.pull_request.head.sha || github.sha }} fetch-depth: 2 - uses: anthropics/claude-code-security-review@main with: comment-pr: true claude-api-key: ${{ secrets.CLAUDE_API_KEY }} ``` **الخطوة 4. ادمج الفرع في main.** سيبدأ الإجراء تلقائيًا مع PR التالية. **ما الذي يفعله الإجراء:** - يعمل مع كل Pull Request مفتوحة أو متزامنة. - يجلب الفرق بين فرع PR وmain. - يشغّل المحرك نفسه الذي يستخدمه `/security-review` محليًا. - ينشر تعليقات مضمنة مباشرة على أسطر الشيفرة التي يتضمنها موضع اشتباه. - يكرر التقرير كاملًا في Job Summary. **تفاصيل مهمة في `permissions`:** - `pull-requests: write` - لنشر التعليقات المضمنة. - `contents: read` - لقراءة الشيفرة. لا يوجد إذن `write`. لا يعدّل الإجراء الشيفرة بنفسه؛ بل يكتفي بالإبلاغ. هذه الأذونات كافية لمستودع خاص. في مستودع عام، يمكنك إضافة `actions: read` إذا كنت تستخدم workflows قابلة لإعادة الاستخدام. ## كيف تصفي النتائج الإيجابية الكاذبة وتغيّر مستوى الحساسية؟
أبرز النقاط يضم الإجراء 9 مدخلات يمكنك استخدامها لضبط سلوكه لمشروعك. أهمها: `exclude-directories` (مثل `tests/,fixtures/`)، و`false-positive-filtering-instructions` (مسار ملف md يضم قواعدك حول «هذا ليس ثغرة لأن...»)، و`custom-security-scan-instructions` لإضافة فحوص خاصة بمجال مشروعك.
الجدول الكامل لمدخلات GitHub Action ([المصدر: README المستودع](https://github.com/anthropics/claude-code-security-review)): | المدخل | الافتراضي | وظيفته | |----|----|----| | `claude-api-key` | \- | مفتاح Anthropic API. مطلوب. | | `comment-pr` | `true` | هل تُنشر تعليقات مضمنة في PR | | `upload-results` | `true` | هل تُحفظ النتيجة كـ artifact لمدة 90 يومًا | | `exclude-directories` | \- | قائمة مفصولة بفواصل: `tests/,docs/,fixtures/` | | `claude-model` | `claude-opus-4-1-20250805` | النموذج المستخدم | | `claudecode-timeout` | `20` | المهلة بالدقائق | | `run-every-commit` | `false` | التشغيل عند كل push، لا عند PR فقط | | `false-positive-filtering-instructions` | \- | مسار ملف md يضم قواعدك | | `custom-security-scan-instructions` | \- | مسار ملف md يضم فحوصًا إضافية | **مثال على إعداد تصفية النتائج الإيجابية الكاذبة.** أنشئ الملف `.claude/security/false-positives.md`: ```markdown # قواعد تصفية النتائج الإيجابية الكاذبة لمشروعنا - أي `dangerouslySetInnerHTML` داخل `src/lib/email/layout.ts` آمن؛ إذ يُنشأ HTML من قوالب موثوقة ويمر عبر `sanitize-html` عند الكتابة في قاعدة البيانات، لا عند العرض. - لا تُبلغ عن مفاتيح API التجريبية المثبتة في الشيفرة داخل `__tests__/fixtures/*.ts`. تبدأ جميع المفاتيح بـ `sk-test-fake-`. - يُسمح بدمج SQL النصي في `src/lib/admin/migrations.ts`؛ فالملف لا يعمل إلا بصلاحية root، وتأتي بيانات الإدخال من متغيرات البيئة. ``` اربطه في workflow: ```yaml - uses: anthropics/claude-code-security-review@main with: comment-pr: true claude-api-key: ${{ secrets.CLAUDE_API_KEY }} false-positive-filtering-instructions: .claude/security/false-positives.md ``` **تعليمات فحص الأمان المخصصة** مشابهة. أنشئ ملفًا يتضمن القواعد المهمة تحديدًا لمشروعك: ```markdown # فحوص إضافية لمشروعنا - يجب أن يتحقق كل endpoint ضمن `/api/admin/*` من دور المسؤول عبر wrapper مشترك. من دون هذا الـ wrapper، تكون الخطورة HIGH. - يجب أن تتحقق جميع webhooks الخاصة بـ YooKassa / CloudPayments من التوقيع قبل تحليل body. من دون ذلك، تكون الخطورة HIGH. - يجب استخدام رموز الروابط السحرية مرة واحدة فقط (وتُعلّم بأنها استُخدمت بعد أول طلب صالح). تكون خطورة الرموز القابلة لإعادة الاستخدام MEDIUM. ``` لم يعد هذا إعدادًا مسبقًا من Anthropic؛ بل تنقل خبرتك بالمشروع إلى قواعد يطبقها Claude في كل مرة. وهذا جوهر «المنهجية أهم من النموذج». لمعرفة المزيد عن منهجية السياق في Claude، راجع دليلي [«كيفية إعداد CLAUDE.md»](https://ailoot.ai/blog/ar/claude-md-template/) و[«Second Brain في Claude Code»](https://ailoot.ai/blog/ar/claude-code-second-brain/). ## ما الذي لا يكتشفه Claude ولماذا: قيود بصراحة؟
أبرز النقاط لا تختبر مراجعة الشيفرة بحد ذاتها التطبيق الجاري أو بيئته المنشورة. قد تشير إلى تنافس أو عيوب منطق أعمال أو مشكلات إعداد ظاهرة في الشيفرة، لكن يلزم اختبار التجهيز وفحص النشر الفعلي لتأكيد السلوك والمخاطر المتبقية.
توضح Anthropic ما هو معطل افتراضيًا ولماذا ([المصدر: README المستودع](https://github.com/anthropics/claude-code-security-review)): - **حجب الخدمة** - ضجيج زائد وتأثيره منخفض في الغالب. - **مخاوف تحديد المعدل** - تُعالج على مستوى البنية التحتية، لا في الشيفرة. - **استنزاف الذاكرة / CPU** - للسبب نفسه. - **التحقق العام من المدخلات من دون أثر مثبت** - التحقق من كل حقل يؤدي إلى سيل من النتائج الإيجابية الكاذبة. - **إعادة التوجيه المفتوحة** - غالبًا ما تكون سلوكًا مقصودًا. ما لا تتحقق منه مراجعة الشيفرة وحدها بالكامل دون دليل تشغيل أو نشر: - **إعداد خادم الإنتاج.** ترويسات NGINX وسياسات CORS وإعدادات TLS ومنافذ الاستماع. يجب فحصها يدويًا في بيئة staging. - **حالات التنافس.** على سبيل المثال، صرف المبلغ مرتين عند ورود طلبات استرداد متزامنة. قد يشير التحليل الساكن إلى أنماط مشتبهة، لكن السلوك المتزامن ما زال يحتاج إلى اختبار. - **عيوب منطق الأعمال في المدفوعات.** إذا حُسب إجمالي الطلب لدى العميل وأُرسل ببساطة إلى مزود الدفع، فخطورة ذلك HIGH، لكن Claude لا يكتشف هذا النمط دائمًا من دون سياق صريح حول آلية الدفع المفترضة. - **IDOR على مستوى قاعدة البيانات.** إذا لم يتحقق الاستعلام `SELECT * FROM orders WHERE id = $1` من وجود `WHERE user_id = $session.userId`، فغالبًا ما يكتشف Claude ذلك. لكن إذا نُفذ التحقق عبر middleware في ORM ولم يتمكن Claude من رؤية تدفق البيانات كاملًا، فقد يفوته. - **مقاومة الهندسة الاجتماعية / التصيد الاحتيالي.** لا علاقة لذلك بالشيفرة. استخدم `/security-review` مراجعة ساكنة أولية. أتبعها باختبارات ديناميكية في التجهيز وفحوص الأدوار والأذونات وفحوص SAST المناسبة ومراجعة التكوين المنشور الفعلي. لا توجد نسبة تغطية مقاسة مثبتة هنا. حدد نطاق التقييم الخارجي وتوقيته من مخاطر النظام وتغيراته. لا يثبت أمر واحد أو تدقيق خارجي دوري تغطية أمنية 100%. ## كيف أجرى مؤلف المادة الأصلية مراجعة أمان لمشروع vibe
أبرز النقاط شغّلت `/security-review` على مشروع TypeScript خاص بي يستخدم Next.js وPrisma وPostgreSQL وRedis. أجرى الأمر تدقيقًا أوليًا في 4 دقائق، وأعاد عدة نتائج مدعومة جيدًا بدرجات خطورة متفاوتة، ثم أنهيت في النهاية الإصلاحات العملية خلال ساعة ونصف. كان ذلك أرخص وأسرع من أي اختبار اختراق خارجي.
ما الذي ظهر؟ صورة معتادة لمشروع vibe متوسط في مرحلة «يعمل في الإنتاج، لكن لم يخضع للمراجعة»: عدة مواضع اشتباه في مسار المصادقة، ومنطق معالجة webhooks الخاصة بتكامل الدفع، والتعامل مع تحميل الملفات، وملاحظتان محددتان حول معالجة HTML وقت العرض. لن أصف التفاصيل علنًا؛ فقد طُبقت بعض التوصيات بالفعل، وما زال بعضها الآخر ضمن PR. في المشروع المبلغ عنه، كان الفحص الأولي مفيدًا وسريعًا؛ ولا يثبت نسبة تغطية أو مدة إنجاز عامة. ما استبعدته باعتباره نتائج إيجابية كاذبة: - نتائج حول DoS بسبب التعبيرات النمطية في التحقق من المدخلات؛ فالحمل الحقيقي لا يقع على تلك التعبيرات النمطية. - نتيجة واحدة حول مفتاح API مثبت في الشيفرة؛ كان مفتاحًا تجريبيًا ذا بادئة صريحة `fake-` في fixtures. الوقت المستغرق. استغرق التشغيل نفسه 4 دقائق. واستغرقت مراجعة التقرير 25 دقيقة. أما تطبيق الإصلاحات فاستغرق نحو ساعة مع الاختبارات. الإجمالي: نحو ساعة ونصف من «بدأت» إلى «أصبح كل شيء في main». يستغرق اختبار اختراق خارجي للنطاق نفسه أسبوعًا تقويميًا وتبلغ تكلفته أضعافًا كثيرة. الخلاصة الرئيسية. لا يحل `/security-review` محل اختبار اختراق خارجي، لكنه قد يجد نتائج مفيدة في الشيفرة، كما حدث في فحص الكاتب المبلغ عنه ذي الأربع دقائق. راجع الإصلاحات واختبرها، ثم افحص التشغيل والتكوين المنشور مستقلًا؛ فلا يزيل الفحص مخاطر المشروع. ## كيف تدمج /security-review في روتين pre-commit؟
أبرز النقاط قبل تثبيت تغييرات مهمة، شغّل `/security-review` في جلسة المشروع واقرأ النتائج وأصلح المشكلات المؤكدة وأعد الفحوص المناسبة. هذه عملية مراجعة وليست حظرًا تقنيًا على commit.
الـ hook السابق باستخدام `git_commit` و`--severity HIGH` و`--fail-on-find` ليس وصفة عمل موثقة ولا يجوز اعتماده بوابة أمان. لا يقدم المقال hook محليًا متحققًا منه لمنع commits. يوفر GitHub Action الرسمي أعلاه نتائج مراجعة PR آلية؛ ولا تستنتج من تعليقه على PR أنه يمنع commit أو الدمج. يتوفر شرح كامل للـ hooks في دليل [«Hooks في Claude Code»](https://ailoot.ai/blog/ar/claude-code-hooks/). ومن البدائل استخدام [routines](https://ailoot.ai/blog/ar/claude-code-routines/) لإنشاء routine باسم `pre-deploy-check` يشغّل `/security-review` + `npm run build` + `npm run test` بأمر واحد. تتوفر مواد إضافية في وثائق Ailoot. إذا كنت تستخدم [خوادم MCP](https://ailoot.ai/blog/ar/mcp-servers-claude-code/)، يمكنك دمج نتائج `/security-review` مع نظام لإدارة الحوادث (Sentry أو Linear أو Notion)، بحيث تتحول كل نتيجة HIGH تلقائيًا إلى تذكرة. ## الأسئلة الشائعة حول /security-review
أبرز النقاط 5 أسئلة شائعة: ما التكلفة، وكم مرة ينبغي تشغيله، وما الحزم التقنية التي يعمل معها، وما العمل إذا كان Claude قد عثر على هذه الثغرة بالفعل، وهل يمكن تشغيله على ملفات محددة فقط. إجابات موجزة بلا حشو.
**ما تكلفة التشغيل الواحد؟** تعتمد على حجم المشروع. في مشروعي الذي يتكون من 30K سطرًا، يستهلك التشغيل الواحد نحو \$0.30-0.50 من رصيد API. وقد تصل تكلفة التشغيل في مستودع مؤسسي كبير يضم مليون سطر إلى \$5-8. وهذا أرخص بعشرات المرات من الاشتراك في أي ماسح SaaS. **كم مرة ينبغي أن أشغله محليًا؟** على الأقل قبل كل إصدار للإنتاج. وانظر أيضًا في تشغيله قبل commits وPRs مهمة. لا يقدم المقال hook آليًا متحققًا منه لمنع commits. **ما الحزم التقنية التي يعمل معها؟** أي حزمة يستطيع Claude قراءتها. وفقًا لملاحظات المؤلف، جرى التحقق من Next.js / Node.js وPython (Django وFastAPI) وGo وRust وPHP (Laravel) وRuby on Rails. الجودة أقل مع اللغات شديدة الغرابة (Erlang وElixir وClojure)، لكنه سيعثر على شيء ما. **ماذا أفعل إذا كرر Claude العثور على «الثغرة» نفسها رغم أنها ليست ثغرة فعلًا؟** أضفها إلى `false-positive-filtering-instructions` مع شرح «لماذا هي آمنة». سيتوقف Claude عن الإبلاغ عنها في عمليات التشغيل المستقبلية. **هل يمكنني تشغيله على ملفات محددة فقط؟** محليًا، نعم: شغّل `/security-review src/lib/auth/*.ts` فحسب. وفي GitHub Action، يُفحص فرق PR الحالي فقط، وهو ما يُقصد عادةً بعبارة «ملفات محددة». ## المصادر
### المصادر - [Anthropic - إعلان إطلاق Claude Code Security](https://www.anthropic.com/news/claude-code-security) - الإعلان الرسمي المؤرخ في 20 فبراير 2026 - [Anthropic Help Center - Automated Security Reviews in Claude Code](https://support.claude.com/en/articles/11932705-automated-security-reviews-in-claude-code) - التعليمات الرسمية لتشغيله - [GitHub: anthropics/claude-code-security-review](https://github.com/anthropics/claude-code-security-review) - مصدر GitHub Action مع ملف README كامل - [Claude Code Docs - Code Review](https://code.claude.com/docs/en/code-review) - وثائق Anthropic العامة - [Anthropic Help Center - Use Claude Security](https://support.claude.com/en/articles/14661296-use-claude-security) - منتجات ذات صلة - [Port - Ingest Claude Code Security Reviews](https://docs.port.io/guides/all/ingest-claude-code-security-reviews/) - دمج النتائج في بوابة المطورين الداخلية - [Claude Code Changelog](https://code.claude.com/docs/en/changelog) - سجل إصدارات الأمر
تتوفر مواد إضافية في [وثائق Ailoot](https://ailoot.ai/docs/).
[أدلة Ailoot](https://ailoot.ai/docs/)
[انتقل إلى Ailoot](https://ailoot.ai/)
## أسئلة شائعة ### هل يثبت تقرير security-review نظيف أمان التطبيق؟ لا. هو مراجعة شيفرة أولية قد تفوّت نتائج أو تصفيها. تحقق من الإصلاحات وجرّب الأدوار والتزامن في التجهيز وافحص التكوين المنشور الفعلي. ### هل يمنع GitHub Action المعروض commits أو الدمج تلقائيًا؟ لا يثبت مسار العمل المعروض هذا الضمان؛ فهو ينشر نتائج PR. راجعها واختبر الإصلاحات المؤكدة؛ ولا يقدم المقال hook محليًا متحققًا منه لمنع commits. ## Ailoot · الشركة ومحفظة مشاريعها تستند Ailoot إلى خبرة تشغيلية متراكمة وقاعدة عملاء واسعة وخدمة مستقرة ومراقبة مستمرة لمؤشرات الأداء KPI. الشركة ومحفظة مشاريعها: ملايين العملاء؛ مبيعات بالمليارات شهريًا. توظف Ailoot هذه الخبرة التشغيلية لإتاحة الوصول عبر API إلى قدرات الذكاء الاصطناعي في منتجات العملاء ووكلائهم وتطبيقاتهم وعمليات الأتمتة.