mcpField
A
auditing-security

auditing-security

github.com/spencerpauly安全868601 次安装13 周前更新
代码仓库

关于 auditing-security

面向安全审查任务的代码审计技能，指导检查凭据、访问控制、注入、依赖和数据暴露问题，并按严重程度整理发现。它强调代码审查不等同于渗透测试。

主要功能

  1. 01扫描源代码中的硬编码凭据
  2. 02检查身份验证与授权
  3. 03审查注入风险和依赖安全
  4. 04核查安全响应头与数据暴露
  5. 05按严重程度生成修复报告

适用场景

  1. 01审查应用代码中的安全问题
  2. 02检查 API 路由的访问控制
  3. 03排查日志或响应中的敏感数据
  4. 04整理漏洞位置与修复建议

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/spencerpauly/awesome-cursor-skills --skill auditing-security

安装后在 Claude Code 中输入/auditing-security确认已加载。

详细介绍

安全审计

当用户要求审计安全性、检查漏洞、审查代码中的安全问题或强化应用时，使用此技能。

步骤

  1. 扫描硬编码的机密信息 — 在源文件中搜索 API 密钥、令牌、密码和连接字符串。检查以下模式：

    • password=、secret=、token=、api_key=
    • Base64 编码的凭据
    • AWS 密钥（AKIA...）、Stripe 密钥（sk_live_...）、GitHub 令牌（ghp_...）
    • 文件：提交到 git 的 .env、包含凭据的 config.json

  2. 检查身份验证和授权

    • 确认所有 API 路由在处理请求前都检查身份验证。
    • 确保在服务端执行基于角色的访问控制，而不只是依赖 UI。
    • 检查密码哈希是否使用 bcrypt/argon2（而非 MD5/SHA1）。
    • 确认会话令牌设为 HTTP-only、安全，并且过期时间合理。

  3. 检查注入漏洞

    • SQL 注入：查找 SQL 查询中使用字符串拼接而非参数化查询的情况。
    • XSS：查找 dangerouslySetInnerHTML、innerHTML，或模板中渲染的未转义用户输入。
    • 命令注入：查找使用用户输入调用的 exec()、eval()、child_process.exec()。
    • 路径遍历：检查文件操作中路径里的用户输入是否经过清理。

  4. 审查依赖项安全性

    • 运行 npm audit 或 pip audit，检查已知漏洞。
    • 标记存在已知 CVE 的过时依赖项。
    • 检查依赖项版本范围是否过于宽松。

  5. 检查 CORS 和 CSP 配置

    • 确认生产环境中的 CORS 未使用 Access-Control-Allow-Origin: *。
    • 检查是否设置了内容安全策略标头。
    • 确认是否设置了 X-Frame-Options、X-Content-Type-Options 和 Strict-Transport-Security 标头。

  6. 审查数据泄露

    • 检查 API 响应是否泄露敏感字段（密码哈希、内部 ID、PII）。
    • 确认生产环境中的错误消息不会暴露堆栈跟踪或内部详情。
    • 检查日志是否记录了敏感数据。

  7. 生成报告 — 为每项发现列出严重程度（Critical / High / Medium / Low），并提供文件路径、行号和建议的修复方法。

备注

  • 这是代码审查，不是渗透测试。建议使用 npm audit、trivy 或 snyk 等工具进行自动扫描。
  • 始终检查 .gitignore，确保 .env、凭据和密钥文件已排除。
  • 如需全面审计，建议参考 OWASP Testing Guide。

评论

支持 Markdown