mcpField
S
security-reactnative

security-reactnative

github.com/thebeardedbearsasSecurity107240 installsUpdated today
Repository

About security-reactnative

A security practices skill for React Native 0.87 with the New Architecture. It covers sensitive data storage, network configuration, native module validation, and common security pitfalls.

Key features

  1. 01Store secrets with Keychain, Keystore, and SecureStore
  2. 02Enforce HTTPS policies on iOS and Android
  3. 03Validate TurboModules inputs natively
  4. 04Identify deep-link and WebView security risks

Use cases

  1. 01Plan sensitive data storage for a React Native app
  2. 02Review production network security settings
  3. 03Audit native module calls and navigation inputs
  4. 04Assess WebView origin validation

Install

Copy the command and run it in a terminal.

$npx skills add https://github.com/thebeardedbearsas/claude-craft --skill security-reactnative

After installing, type/security-reactnativein Claude Code to confirm it loaded.

Details

From the project README

Security - React Native 0.87 Best Practices

Ce skill fournit les bonnes pratiques de sécurité pour React Native 0.87 avec la New Architecture.

Principes clés

  • Sécurité native : Keychain (iOS) / Keystore (Android) pour les secrets sensibles (pas AsyncStorage)
  • HTTPS uniquement : ATS (iOS) et Network Security Config (Android) strictes
  • JSI synchrone : validation côté natif des appels TurboModules
  • Expo SecureStore : abstraction sécurisée cross-platform pour les tokens

Spécificités React Native 0.85+

  • TurboModules sécurisés : validation des inputs côté natif avant traitement JSI
  • Bridge legacy supprimé : pas de risques de sérialisation JSON vulnérable
  • Fabric : rendu natif isolé du thread JS (limite les injections UI)
  • Hermes obligatoire : bytecode natif (protection contre le reverse engineering du bundle JS)

Anti-patterns critiques

  • ❌ Stocker des tokens dans AsyncStorage (plaintext)
  • ❌ HTTP non sécurisé en production
  • ❌ Code PIN/biométrie sans SecureStore
  • ❌ Deep links non validés (injection de navigation)
  • ❌ WebView sans validation de l'origine

Sources : OWASP Mobile Top 10, RN Security Best Practices

Comments

Markdown supported