mcpField
S
security-audit

security-audit

github.com/laolaoshirenセキュリティ90092 回インストール4 日前に更新
リポジトリ

security-audit について

security-auditは、指定された範囲のコードと依存関係を調べるセキュリティ監査スキルです。問題を重大度別に整理し、該当箇所、攻撃経路、修正前後のコードを報告します。

主な機能

  1. 01指定ファイルやコード範囲に監査対象を設定
  2. 02高・中・低リスクの一般的な問題を確認
  3. 03依存関係ファイルを確認
  4. 04重大度別に監査結果を整理
  5. 05攻撃経路と修正コードの比較を提示

活用シーン

  1. 01コードのインジェクションやパストラバーサルを監査
  2. 02秘密情報、トークン、機密ログの露出を確認
  3. 03依存バージョンとセキュリティ設定を点検
  4. 04脆弱性を重大度別にまとめ修正方法を示す

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/laolaoshiren/claude-code-skills-zh --skill security-audit

インストール後、Claude Code で/security-auditを入力して読み込まれたか確認します。

詳細

プロジェクトの README より

代码安全审计

触发条件

当用户要求安全检查、漏洞扫描、安全审计、依赖安全检查时激活此技能。

工作流程

  1. 确定审计范围 — 根据用户指定的目录/文件/代码段进行分析
  2. 静态安全扫描 — 按检查清单逐项排查
  3. 依赖安全检查 — 检查 package.json / requirements.txt / go.mod 等依赖文件
  4. 生成审计报告 — 按严重程度分类输出

检查清单

🔴 高危
  • 硬编码密钥/密码/API Key
  • SQL 注入风险（字符串拼接 SQL）
  • 命令注入（未过滤的 shell 命令）
  • 路径遍历（未校验的文件路径）
  • 反序列化漏洞
  • 未校验的 JWT/Token 验证
🟡 中危
  • XSS 风险（未转义的用户输入）
  • CSRF 保护缺失
  • 不安全的随机数生成
  • 敏感信息日志泄露
  • 过宽的权限设置
  • 缺少 Rate Limiting
🟢 低危
  • 缺少输入验证
  • 依赖版本过旧
  • 缺少安全头部（CSP, HSTS, X-Frame-Options）
  • 错误信息泄露内部细节
  • 缺少 HTTPS 强制

输出格式

## 🔒 安全审计报告

### 审计概览
- 审计范围：xxx
- 发现问题：🔴 高危 X 个 / 🟡 中危 X 个 / 🟢 低危 X 个

### 🔴 高危问题
#### 1. [文件路径:行号]
- **漏洞类型**：xxx
- **风险描述**：xxx
- **攻击场景**：攻击者可以通过 xxx 方式...
- **修复方案**：
  ```code
  // 修复前
  // 修复后
🟡 中危问题

...

🟢 低危问题

...

依赖安全
依赖名当前版本建议版本风险
修复优先级建议
  1. 立即修复：...
  2. 本周修复：...
  3. 长期改进：...

## 注意事项
- 提供修复前后的代码对比
- 对于每条漏洞，说明具体的攻击向量
- 优先级基于可利用性和影响范围判断

コメント

Markdown 対応