AuthDiff 授权变更审查机器人

在 PR 里高亮权限边界被悄悄改变的代码，拦住越权与数据泄露

痛点

团队在做代码评审时，很难快速看出一个 PR 是否动了鉴权逻辑。改动可能藏在自定义守卫、接口、RBAC/ABAC 规则或 policy-as-code 文件里，一旦漏看就可能造成越权或数据暴露。现有工具要么靠大模型，要么根本不做这类专项扫描。

方案

一个轻量 GitHub Action：静态解析仓库里的鉴权相关文件与路由装饰器，把本次变更中「权限范围被扩大的位置」标注成 PR 评论，并附上前后 diff 语义对比。不上大模型，跑得快、可自托管，让安全审查变成可执行的清单而不是靠记忆。

用户

有合规要求的中小型 SaaS 团队、安全工程师、平台团队

MVP

识别常见鉴权文件与装饰器；只报告权限扩大的变更；在 PR 中输出带行号的评论；支持 allowlist 忽略规则；单命令安装

变现

私有仓库按仓库数订阅，公共仓库免费，月付 15～49 美元；企业版提供自托管与审计导出

为何现在

agent 生成的代码大规模进入 PR，鉴权改动被淹没在海量 diff 中，人工评审越来越难兜底，这类「窄而深」的安全检查器正好补位。