/fix-security

name: fix-security
description: 安全修复子类型规范 — CVE/漏洞响应 + 四项安全专项扫描

Fix Security Skill

触发条件

安全漏洞修复：CVE 响应、XSS/SQL注入/CSRF 修复、依赖漏洞升级、权限越权修复、敏感信息泄露处理。

安全专项扫描（S1~S4）

在标准 fix 三步扫描之外，额外执行：

| 扫描 | 内容 | 工具 | |------|------|------| | S1 漏洞验证 | 确认漏洞可重现 + CVSS 评分 | 手动/PoC | | S2 依赖扫描 | 全量依赖树安全检查 | `npm audit` / `pnpm audit` | | S3 代码扫描 | 修复文件及相关模块的安全模式检查 | 静态分析 | | S4 回归扫描 | 修复后重新运行 S1~S3 确认修复有效 | 同上 |

执行规则

• CP1 必须包含：漏洞描述 + CVSS 评分 + 影响版本范围
• CP2 必须包含：修复方案 + 是否需要 Breaking Change + 公告计划
• 安全 repair 必须执行 active `repair-prevention-assessment#RepairPreventionAssessmentGate` 且使用 `mode=full`；需要先启用控制时只能选择带授权、前瞻补证和 rollback/sunset 的 `emergency-active`
• 安全修复 PR 描述中**禁止包含**漏洞细节（防止公开 CVE 前泄露）
• 依赖升级必须检查 Peer Dependencies 兼容性

发布流程

1. 修复完成 → 安全测试通过 2. 准备 Security Advisory 3. 协调发布节奏（如有 CVE 编号，对齐披露时间） 4. 发布 patch 版本 + CHANGELOG 安全公告 5. 输出安全报告：优先 `.devcodex/bugs/<问题>/reports/<agent>/YYYYMMDD/NN--security.md`；无任务上下文时回退到 `.devcodex/reports/bugs/<agent>/YYYYMMDD/NN--security.md`