Qwen Code 教程、编程自动化测试、自动化代码审计、日志分析

Qwen Code

面向开发者的AI驱动命令行工作流工具

Qwen Code 是一款源自 Gemini CLI 的强大命令行AI工作流工具，专门针对 Qwen3-Coder 模型进行了优化。

开源免费

github：https://github.com/QwenLM/qwen-code

• 官方账户认证后，每天1000-2000次 free 调用

• 代码理解与编辑

• 工作流自动化

• 增强解析器

安装

基于 node js 构建， 可跨平台使用，因为是 cli 的工具，推荐使用 macos ， linux 环境下使用，更丝滑

安装条件

• nodejs 最新版直接

• 终端

• node 包管理器，npm、pnpm、yarn、bun 都可以，任选

执行以下命令安装

• 第一条安装，第二条测试查看版本确认是否安装成功

• npm install -g @qwen-code/qwen-code@latest

• qwen –version

使用

从相关参数、命令的功能上来介绍使用，以及多个使用案例来演示。

兼容所有支持 openai 格式大语言模型，因为支持直接账户登陆的方式使用，每天有1000 – 2000 次数的使用量，所以除非有使用其他厂商模型需求，否则无需设置环境变量使用其他模型。

文章也会写设置使用其他厂商模型，来对比模型性能

参数选项

  Qwen Code – 启动一个交互式 CLI，使用  -p/–prompt  进入非交互模式

  选项：

  •  -m, –model
  模型名称  [字符串]  默认值:  "qwen3-coder-max"
  •  -p, –prompt
  提示词（会附加到从标准输入读取的内容后面） [字符串]
  •  -i, –prompt-interactive
  执行给定提示词并继续进入交互模式 [字符串]
  •  -s, –sandbox
  是否在沙箱中运行？ [布尔]
  •  –sandbox-image
  沙箱镜像 URI  [字符串]
  •  -d, –debug
  是否以调试模式运行？ [布尔] 默认值:  false
  •  -a, –all-files
  是否包含所有文件到上下文中？ [布尔] 默认值:  false
  •  –all_files
  是否包含所有文件到上下文中？
  [已弃用：请使用 –all-files]，将在未来几周内移除。 [布尔] 默认值:  false
  •  –show-memory-usage
  在状态栏中显示内存使用情况 [布尔] 默认值:  false
  •  –show_memory_usage
  在状态栏中显示内存使用情况
  [已弃用：请使用 –show-memory-usage]，将在未来几周内移除。 [布尔] 默认值:
  false
  •  -y, –yolo
  自动接受所有操作（也称 YOLO 模式，详情参考 YouTube 链接 https://www.youtube.
  com/watch?v=xvFZjo5PgG0） [布尔] 默认值:  false
  •  –telemetry
  启用遥测功能？此参数专门控制是否发送遥测数据。其他  –telemetry-*
  选项设置具体值，但不会单独启用遥测。 [布尔]
  •  –telemetry-target
  设置遥测目标（ local  本地 或  gcp  谷歌云平台）。会覆盖配置文件。
  [字符串] 选择:  "local"  或  "gcp"
  •  –telemetry-otlp-endpoint
  设置遥测的 OTLP（OpenTelemetry Protocol）端点，会覆盖环境变量和配置文件。
  [字符串]
  •  –telemetry-log-prompts
  启用或禁用记录用户提示词以进行遥测。会覆盖配置文件。 [布尔]
  •  -c, –checkpointing
  启用文件编辑的检查点（Checkpoint）功能 [布尔] 默认值:  false
  •  –allowed-mcp-server-names
  允许的 MCP 服务器名称 [数组]
  •  -e, –extensions
  要使用的扩展列表。如果未提供，将使用 所有 扩展。 [数组]
  •  -l, –list-extensions
  列出所有可用扩展并退出 [布尔]
  •  –ide-mode
  是否以 IDE 模式运行？ [布尔]
  •  –openai-logging
  启用 OpenAI API 调用的日志记录（用于调试和分析） [布尔]
  •  –openai-api-key
  用于身份验证的 OpenAI API Key [字符串]
  •  –openai-base-url
  OpenAI 基础 URL（用于自定义端点） [字符串]
  •  -v, –version
  显示版本号 [布尔]
  •  -h, –help
  显示帮助信息 [布尔]

  ——–

登陆认证

• 直接输入 qwen  命令，打开交互式终端，选择Qwen OAuth 的方式认证 ，随后点击链接浏览器交互登陆，或者直接终端扫码登陆都可。

API（openai 格式）

推荐使用环境变量方式

export OPENAI_API_KEY="your_api_key_here"
export OPENAI_BASE_URL="https://llm-all.pro/v1"
export OPENAI_MODEL="gpt-5"

交互式参数选项

执行 qwen 命令后，输入 / 可执行额外功能，如：切换模型，调用工具，执行命令等。

## **Qwen Code CLI 使用帮助**

### **基础用法**
– **添加上下文**
  使用 `@` 指定文件或文件夹以提供上下文，例如：
  ```bash
  @src/myFile.ts

• Shell 模式执行 Shell 命令：

  !npm run start

  或直接输入自然语言（如“启动服务器”）。

命令列表

命令

说明

快捷键

快捷键

说明

📄 完整快捷键文档请查看： docs/keyboard-shortcuts.md

## 案例测试

– **🔍 探索代码库**
– **💻 代码开发**
– **🔄 自动化工作流**
– **🐛 调试与分析**
– **📚 理解新代码库**
– **🔨 代码重构与优化**
– **📝 文档与测试**
– **🚀 开发加速**

—

### 编程测试

> 下面用一组提示词测试前端开发，不专业，勿喷。。。
> 

> 提示词如下，原提示词，和 AI 优化后的提示词
> 

> 使用 qwen code 工具默认模型，qwen3-code-plus
> 

```jsx
# 原提示词
– 写个单html页面
– 关于网站主页，介绍页, 内容关于全球各大厂商的AI大模型
– 块的方式布局
– 阴影的方式美化，左上角黑色阴影，右下角白色阴影
– 动效交互，自然动画，默认页面背景流动动画
– 黑白配色，黑白主题，自动，手动可切换
– 自行思考还需要添加修改什么
– 背景添加自然流动的动画效果

=============================================================================
# AI 优化提示词
**任务目标：**
创建一个**单个 HTML 文件**（可包含内联 CSS 和 JavaScript），作为一个介绍全球各大厂商 AI 大模型的**网站主页**。

—

### 具体要求

1. **页面结构**
   – 包括 **首页**（简要介绍、标题、Logo）与**介绍区块**（按块状布局，每个块代表一个 AI 大模型厂商，如 Google、OpenAI、Anthropic、Meta、百度、阿里、华为等）。
   – 每个区块包含：
     – 厂商 Logo 或占位符图标
     – 模型名称
     – 简短介绍
   – 布局为响应式（适配 PC 与移动端）。

2. **视觉设计**
   – **主题色**：黑白主题设计，支持**自动切换**（跟随系统主题）与**手动切换**。
   – **块样式**：卡片式布局，带阴影效果：
     – 卡片左上角：黑色阴影
     – 卡片右下角：白色阴影
   – 背景色渐变、自然过渡。

3. **动画与交互**
   – 页面背景有**自然流动的动画效果**（如渐变流动、水波纹或缓慢粒子移动）。
   – 块 hover 时有轻微缩放与阴影变化的自然动画。
   – 切换黑白主题时加入渐变过渡动画。

4. **附加优化**
   – HTML 语义化（使用 `<header>`, `<section>`, `<article>`, `<footer>` 等标签）。
   – 所有图片加 `alt` 属性。
   – 确保在无样式情况下内容仍可阅读。
   – 保持代码简洁，可直接本地运行。

5. **文件形式**
   – 单个 `.html` 文件（内嵌 CSS、JavaScript）。
   – 无需依赖外部框架（可使用原生 JS + CSS）。

—

原提示词效果参考下图

AI 优化后的提示词 ， 可以看到，效果明显更强了，自己写完提示词，让ai优化了应该更不错。

claude、gpt、gemini等模型测试

接下来使用第三方 api  ， 调用 gpt 5 ， claude 4 ， gemini  2.5 等模型，使用优化后的提示词测试效果

环境变量配置如下，直接命令行执行

注意：已经使用qwen 登陆认证的，需要执行 qwen 后，输入 /auth 切换认证方式，才可以切换第三方 api 。

export OPENAI_API_KEY="sk-qSs5JCD7motU…………."
export OPENAI_BASE_URL="https://llm-all.pro/v1"
export OPENAI_MODEL="gpt-5"

• gpt-5 测试效果如下

• claude-4-sonnet 测试效果如下

• gemini-2.5-pro 测试效果如下

安全自动化

• 代码审计，提示词如下

你是一名资深的安全工程师和代码审计专家，精通安全编码、渗透测试、漏洞分析，以及多种编程语言（如 C/C++、Java、Python、JavaScript、Go、PHP、Rust 等）。
接下来我会提供一段源代码或一个代码仓库的文件内容，请你严格按照以下要求审计代码：

1. **安全漏洞检测**
   – 识别代码中可能存在的安全漏洞（如 SQL 注入、XSS、命令注入、反序列化漏洞、越权访问、信息泄露、弱加密、错误的权限验证等）。
   – 说明漏洞出现的具体位置（文件名、行号）及代码片段。

2. **代码质量与安全风险**
   – 查找潜在的逻辑错误与异常处理缺失。
   – 分析第三方依赖库的安全风险。
   – 检测硬编码的敏感信息（密钥、密码、API Key 等）。

3. **风险评级**
   – 按照 高危 / 中危 / 低危 三个级别对每个问题进行评级，并说明评级原因。

4. **修复建议**
   – 针对每一个发现的问题给出详细的修复方案，并提供安全代码示例。

5. **额外的安全建议**
   – 提供额外的最佳安全实践建议，比如加固、日志审计、输入校验等。

请输出内容为：
– 《发现的问题与影响》
– 《风险等级》
– 《代码位置》
– 《修复建议》
– 《附加说明》

效果如下图，相当不错

• 日志分析，提示词如下

你是一名资深网络安全分析专家。我将提供一段系统/网络日志，请你从网络安全视角分析，目标是检测并解释可能的入侵、扫描、暴力破解、异常流量、恶意负载。请遵循以下步骤：
1. 读取日志，找出不正常的请求、事件、连接。
2. 识别潜在的攻击类型，并映射到 MITRE ATT&CK 技术编号。
3. 提供 IOC（IP、域名、URL、文件 Hash 等）。
4. 按危害分级（高/中/低）生成漏洞风险清单。
5. 给出可立即执行的防御措施和长期安全建议。
6. 输出时严格按照以下格式：
   —
   【威胁概要】
   【事件列表】
   【IOC】
   【MITRE 映射】
   【防御建议】
   【信心评分】
   —
以下是日志内容：
[在此处粘贴日志]

参考下图，成功分析出多种攻击

结论

基于终端命令行的 ai 编程方式已经落地了很长一段时间，qwen code 对于国内用户是相当方便的，这一代模型也是非常强大的，关键是免费

工具推荐使用，功能上，性能上，因为是基于 gemini cli 的，毋庸置疑，肯定是top级水准，模型也可选第三方代替，但是对于轻量用户，默认 qwen3-coder-plus ， 完全够用了。