关于 application-security
application-security 是一项面向应用开发与安全工作的技能，汇总 OWASP Top 10（2021）风险及相应防护措施。内容涵盖访问控制、加密、注入、身份验证和监控等领域。
主要功能
- 01梳理 OWASP Top 10（2021）风险
- 02提供访问控制与加密防护建议
- 03说明参数化查询以降低注入风险
- 04涵盖身份验证、依赖项与配置安全
- 05介绍安全事件日志和异常监控
适用场景
- 01审查应用设计中的常见安全风险
- 02改进数据库查询和权限校验
- 03规划依赖项审计与安全监控
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/application-security确认已加载。
详细介绍
应用安全
OWASP Top 10（2021）
1. 访问控制失效
风险：用户访问未经授权的资源。
预防措施：
- 默认拒绝
- 实施 RBAC/ABAC
- 在服务端验证权限
- 记录访问失败
2. 加密机制失效
风险：敏感数据泄露。
预防措施：
- 加密静态和传输中的数据
- 使用强算法（AES-256、RSA-2048+）
- 绝不以明文存储密码
- 使用安全的密钥管理
3. 注入
风险：恶意输入被作为代码执行。
预防措施：
// BAD - SQL injection
const query = `SELECT * FROM users WHERE id = ${userId}`;
// GOOD - Parameterized query
const query = 'SELECT * FROM users WHERE id = $1';
db.query(query, [userId]);
4. 不安全的设计
风险：设计中缺少安全控制。
预防措施：
- 威胁建模
- 安全要求
- 深度防御
5. 安全配置错误
风险：默认或薄弱的配置。
预防措施：
- 禁用不必要的功能
- 删除默认凭据
- 保持软件更新
- 强化服务端配置
6. 易受攻击的组件
风险：使用存在已知漏洞的库。
预防措施：
- 定期审计依赖项
- 保持依赖项更新
- 监控 CVE 数据库
7. 身份验证失效
风险：身份验证薄弱或失效。
预防措施：
- 多因素身份验证
- 强密码策略
- 安全的会话管理
- 限制登录频率
8. 软件和数据完整性失效
风险：更新来源不可信。
预防措施：
- 验证代码签名
- 对 CDN 资源使用 SRI
- 保护 CI/CD 流水线安全
9. 日志记录和监控失效
风险：攻击未被发现。
预防措施：
- 记录安全事件
- 监控异常情况
- 对可疑活动发出警报
10. 服务端请求伪造
风险：服务端向非预期目标发起请求。
预防措施：
- 验证 URL
- 使用允许列表
- 阻止内部 IP
评论
支持 Markdown