/security

name: security
description: "Security review skill: comprehensive security checklist and patterns. Use when adding authentication, handling user input, working with secrets, or creating API endpoints."
allowed-tools: Read, Write, Edit, Bash, Grep, Glob
parent: quality

安全审查技能

> 关联 Agent: `security-reviewer`（安全审查主力）、`code-reviewer`（代码审查中的安全维度）

本技能确保所有代码遵循安全最佳实践，识别潜在漏洞。

快速参考

• **核心职责**: 确保代码遵循安全最佳实践，识别潜在漏洞
• **覆盖范围**: 密钥管理、输入验证、SQL 注入、认证授权、XSS/CSRF 防护、速率限制、敏感数据、依赖安全、命令注入、路径遍历
• **关键原则**: 安全不是可选项，有疑问时选择更安全的方案

触发条件

• 实现认证或授权
• 处理用户输入或文件上传
• 创建新的 API 端点
• 使用密钥或凭证
• 实现支付功能
• 存储或传输敏感数据
• 集成第三方 API

安全检查速查

| 类别 | 核心规则 | 检查项 | | ------------ | ----------------------------------- | ------------------------------------------ | | **密钥管理** | 环境变量，不硬编码 | `.env.local` 在 .gitignore，Git 历史无密钥 | | **输入验证** | Schema 验证（zod/pydantic），白名单 | 文件上传限制（大小/类型/扩展名） | | **SQL 注入** | 参数化查询，不拼接 SQL | ORM 正确使用 | | **认证授权** | httpOnly cookies，RBAC | Token 不放 localStorage | | **XSS** | DOMPurify 净化，CSP 头 | 无未验证的动态渲染 | | **CSRF** | CSRF Token，SameSite=Strict | 状态变更操作有保护 | | **速率限制** | 所有 API 有限制 | 昂贵操作更严格 | | **敏感数据** | 日志脱敏，通用错误消息 | 堆栈跟踪不暴露 | | **依赖** | npm audit clean，Lock 已提交 | 启用 Dependabot | | **命令注入** | execFile 非 exec，shell=False | 不拼接用户输入 | | **路径遍历** | os.path.basename 过滤 | 不直接拼接路径 |

子文件索引

| 文件 | 内容 | | -------------------------------------------- | ----------------------------------- | | [owasp-patterns.md](./owasp-patterns.md) | OWASP Top 10 详细防护模式和代码示例 | | [verify-checklist.md](./verify-checklist.md) | 安全测试示例 + 部署前安全检查清单 | | [cloud-security.md](./cloud-security.md) | IAM、密钥管理、CI/CD、网络安全 | | [config-audit.md](./config-audit.md) | 配置审计清单 |

参考资源

• [OWASP Top 10](https://owasp.org/www-project-top-ten/)
• [Web 安全学院](https://portswigger.net/web-security)

---

> **记住**：安全不是可选项。一个漏洞可能危及整个平台。有疑问时，选择更安全的方案。