关于 bitrix-security
bitrix-security 是面向 Bitrix 开发的安全规则技能，覆盖请求校验、输出转义、SQL 与文件操作等常见风险。它强调将输入数据视为不可信，并在每个操作中单独检查对象权限。
主要功能
- 01CSRF 与 XSS 防护规则
- 02SQL 注入与 SSRF 防护
- 03文件上传及本地文件安全
- 04权限、REST 范围与加密规则
- 05校验实体来源并检查权限
适用场景
- 01审查 Bitrix 表单与输出处理
- 02检查 ORM 和原始 SQL 查询
- 03防范上传、重定向及 SSRF 风险
- 04核查 REST 操作与对象权限
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/bitrix-security确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
rules/csrf-xss.mdjwt-crypto-access.mdsql-ssrf.md详细介绍
安全
基线：main 23.0+ · 已验证：main 26.800.0
通用默认设置（不使用超全局变量、保留默认预过滤器、转义输出）位于 bitrix-framework 中。
| 任务 | 阅读 |
|---|---|
| CSRF、转义、HTML 清理、链接和重定向目标、原始 HTML 输出点 | rules/csrf-xss.md |
SQL 注入（原始 SQL、ORM、ExpressionField）、SSRF、本地文件、上传、存储的设置 | rules/sql-ssrf.md |
权限检查、#[ActionAccess]、REST 作用域、JWT/JWK、加密、双重身份验证 | rules/jwt-crypto-access.md |
不变量
- 不可信数据包括请求数据，以及存储在 DB 中的设置、导入数据、REST 负载。实体的类型和所有者应来自其 DB 记录，绝不能来自请求。
- 无论来源是什么，凡是会成为 SQL 结构的内容（字段名、运算符、函数、
order键）都必须使用白名单。 - 按输出上下文进行转义：HTML 使用
htmlspecialcharsbx()，JS 使用Json::encode()，URL 使用协议白名单。 - 用户输入未经检查，绝不能传入
CFile::MakeFileArray()、file_get_contents()、unserialize()或重定向目标。 Authentication/Csrf过滤器不负责授权：每个操作都必须检查对象的权限。
评论
支持 Markdown