关于 auth-audit
auth-audit 是用于端到端审查身份验证与授权实现的技能，涵盖令牌和会话生命周期、OAuth2、密码、MFA、加密选择及访问控制逻辑，并检查常见漏洞。
主要功能
- 01审查 JWT 签名、过期、刷新与存储
- 02检查会话生命周期和固定风险
- 03检查 OAuth2 PKCE、state 与重定向
- 04审查密码规则和重置流程
- 05检查 MFA、恢复、RBAC 与 ABAC
适用场景
- 01审查基于 JWT 的身份验证系统
- 02审计 OAuth2 登录与重定向
- 03检查登录后的会话处理
- 04评估授权与 MFA 控制
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/auth-audit确认已加载。
附带文件references/auth-patterns.mdreferences/templates/auth-checklist.md
详细介绍
此技能会端到端审计身份验证与授权实现：JWT 签名算法、过期时间、刷新和存储；会话存储、过期、重新生成和固定；OAuth2 PKCE、state 参数和重定向验证；密码哈希算法、强度规则和重置流程；以及 MFA 实现、备用代码和恢复。
它会执行固定的工作流——检测身份验证实现、扫描已知反模式、验证加密选择、检查令牌／会话生命周期，并审计授权逻辑（RBAC/ABAC）——以检查 JWT 使用 none 签名、JWT 密钥过短、缺少令牌过期时间／过期时间过长、刷新令牌存储在 localStorage、会话固定、缺少 CSRF 保护，以及 OAuth 流程缺少 PKCE 或 state 参数等漏洞。
身份验证审计技能
概述
全面审计身份验证与授权实现。
审计类别
| 类别 | 检查项 |
|---|---|
| JWT | 签名算法、过期时间、刷新、存储 |
| 会话 | 存储、过期、重新生成、固定 |
| OAuth2 | PKCE、state 参数、重定向验证 |
| 密码 | 哈希算法、强度规则、重置流程 |
| MFA | 实现、备用代码、恢复 |
工作流
- 检测身份验证实现（JWT、会话、OAuth）
- 扫描已知反模式
- 验证加密选择
- 检查令牌／会话生命周期
- 审计授权逻辑（RBAC、ABAC）
常见漏洞
- JWT 使用
none算法签名 - JWT 密钥过短（< 256 位）
- 没有令牌过期时间，或过期时间过长
- 刷新令牌存储在 localStorage
- 登录后发生会话固定
- 缺少 CSRF 保护
- 面向公共客户端的 OAuth 未使用 PKCE
- OAuth 流程中缺少
state参数
参考
评论
支持 Markdown