heal.dev

AI 代码审查只读取单个 pull request 的 diff，代码未改动部分、配置、数据以及第三方服务之间的问题不在其视野内，它只能标记看起来可疑的模式，是否能被触达、触达后会发生什么仍需人工判断。Heal 则运行整个产品：覆盖所有功能、数据及其调用的服务，无论相关代码是否被改动。对每个缺陷，Heal 会证明其真实性——测试先失败两次，再在 Heal 自行重跑时再次失败；无法复现的问题不会被提交。因此 Heal 定位为现有代码审查的补充，适合每周或发布前对整个产品做全量检查。

在安全方面，Heal 不是仅匹配看起来像漏洞的代码，而是在沙箱中以两个不同用户身份实际触发漏洞利用，并报告返回的结果。对于支付、邮件和第三方 API，Heal 在沙箱中对其进行模拟或仿真，并重放失败、延迟或重复响应等异常场景，从而确认产品在这些异常下的实际表现，而不是只看到代码里的调用。

每个缺陷都会附带可复现的步骤、截图和一段失败测试，该测试在问题修复后转为通过。Heal 的验证标准是：测试失败两次，再在 Heal 自行重跑时再次失败；无法复现的问题不会被提交，以此减少误报干扰。此外，Heal 提供行为、安全、性能三类问题及不同深度的扫描模式，并支持本地或云端运行。