关于 auth-audit
auth-audit 技能用于审查身份验证与授权实现，涵盖 JWT、会话、OAuth2、密码和 MFA。其流程检查加密选择、令牌生命周期及授权逻辑，以发现常见安全缺陷。
主要功能
- 01检查 JWT 签名、过期、刷新和存储
- 02检查会话生命周期与固定攻击
- 03检查 OAuth2 PKCE 和重定向
- 04审查密码哈希与重置流程
- 05检查 MFA 恢复和授权逻辑
适用场景
- 01审查新身份验证实现
- 02检查令牌与会话处理
- 03审计 OAuth2 和密码安全
- 04发现授权及 MFA 弱点
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/auth-audit确认已加载。
详细介绍
此技能会端到端审计身份验证与授权实现：JWT 签名算法、过期时间、刷新和存储；会话存储、过期、重新生成和固定；OAuth2 PKCE、state 参数和重定向验证；密码哈希算法、强度规则和重置流程；以及 MFA 实现、备用代码和恢复。
它会执行固定的工作流——检测身份验证实现、扫描已知反模式、验证加密选择、检查令牌／会话生命周期，并审计授权逻辑（RBAC/ABAC）——以检查 JWT 使用 none 签名、JWT 密钥过短、缺少令牌过期时间／过期时间过长、刷新令牌存储在 localStorage、会话固定、缺少 CSRF 保护，以及 OAuth 流程缺少 PKCE 或 state 参数等漏洞。
身份验证审计技能
概述
全面审计身份验证与授权实现。
审计类别
| 类别 | 检查项 |
|---|---|
| JWT | 签名算法、过期时间、刷新、存储 |
| 会话 | 存储、过期、重新生成、固定 |
| OAuth2 | PKCE、state 参数、重定向验证 |
| 密码 | 哈希算法、强度规则、重置流程 |
| MFA | 实现、备用代码、恢复 |
工作流
- 检测身份验证实现（JWT、会话、OAuth）
- 扫描已知反模式
- 验证加密选择
- 检查令牌／会话生命周期
- 审计授权逻辑（RBAC、ABAC）
常见漏洞
- JWT 使用
none算法签名 - JWT 密钥过短（< 256 位）
- 没有令牌过期时间，或过期时间过长
- 刷新令牌存储在 localStorage
- 登录后发生会话固定
- 缺少 CSRF 保护
- 面向公共客户端的 OAuth 未使用 PKCE
- OAuth 流程中缺少
state参数
参考
评论
支持 Markdown