code-security

代码安全

适用场景

• 编写或审查应用程序代码，检查常见漏洞类型（注入、XSS、身份验证、加密、SSRF、XXE、反序列化）
• 审查代码中的密钥处理、会话/JWT 模式和传输安全
• 审查 Terraform、Kubernetes 清单、Dockerfile 或 GitHub Actions 中的安全配置错误
• 主动强化会接收用户输入、执行 I/O、查询数据库或调用外部 URL 的代码
• 将发现的问题映射到 CWE/OWASP 类别，并提出具体的安全模式

不适用场景

• 规划或执行经授权的渗透测试、漏洞利用链或红队行动 → ai-redteam、cybersecurity、penetration-tester、red-team-specialist
• 将控制措施映射到 SOC 2、ISO 27001，或构建审计证据包 → compliance-engineer、compliance-specialist
• 部署 SIEM、IdP、KMS、WAF，或运维安全工具 → information-security-engineer
• 在不进行安全编码审查的情况下配置 CI/CD 扫描器、SBOM、OIDC 或流水线门禁 → devsecops
• 编写 YARA 或恶意软件检测规则 → yara-rule-authoring
• 不涉及安全视角的一般功能设计、RFC 或重构 → senior-software-engineer

相关技能

需求	技能
安全计划策略、政策、IR	cybersecurity
控制措施实施、IdP、KMS、SIEM	information-security-engineer
CI/CD 安全门禁、SBOM、流水线 OIDC	devsecops
审计证据和框架映射	compliance-engineer
LLM/Agent 红队测试和提示词注入	ai-redteam
代码审查、RFC、可靠性（非安全）	senior-software-engineer
云账户防护措施和 CSPM	cloud-security-engineer
密码学原语/协议设计	cryptographer-specialist
复现渗透测试发现的问题	penetration-tester、web-pentester

工作方式

模式

• 主动模式 — 编写或修改安全敏感代码（输入、身份验证、文件、数据库、HTTP 客户端、加密、IaC）时，无需等待用户明确提出安全要求，即检查相关类别。
• 响应模式 — 用户请求安全审查时，遵循 references/review_checklist_and_owasp_mapping.md 中的审查工作流。

工作流

1. 确认语言/技术栈以及代码的用途（输入？数据库？shell？XML？出站 HTTP？密钥？IaC？）。
2. 加载下方对应的参考资料；优先检查影响为 Critical 和 High 的问题。
3. 使用 CWE/OWASP 标签标记易受攻击的模式，并根据参考资料提出安全替代方案（特定语言的示例见其中）。
4. 对于审查，按严重程度排序列出发现的问题，并提供文件/行号上下文和修复建议。

语言优先检查项

语言 / 技术栈	优先主题
Python	SQL/命令注入、路径遍历、代码注入、SSRF、不安全的加密、反序列化
JavaScript/TypeScript	XSS、原型污染、代码注入、CSRF、不安全的传输
Java	SQL 注入、XXE、不安全的反序列化、SSRF、不安全的加密
Go	SQL/命令注入、路径遍历、SSRF、不安全的传输
C/C++	内存安全、不安全函数、命令注入、路径遍历
Ruby / PHP	SQL/命令注入、XSS、反序列化（Ruby）、代码注入
HCL / YAML	Terraform（AWS/Azure/GCP）、Kubernetes、Docker、GitHub Actions

何时加载参考资料

详细的易受攻击/安全模式和多语言示例位于 references/ 中（由 28 个上游规则类别精简而成）。不要期望 SKILL.md 中包含每条规则的所有语言版本。

主题	参考资料
范围、模式、语言优先级	references/code_security_scope_and_workflow.md
SQL、命令、XSS、路径遍历、代码注入	references/injection_and_input_validation.md
密钥、JWT、CSRF、加密、TLS	references/crypto_auth_and_session.md
XXE、反序列化、SSRF	references/deserialization_ssrf_xxe.md
Terraform、K8s、Docker、GitHub Actions	references/infrastructure_as_code_security.md
审查清单、CWE/OWASP 映射、中/低危问题	references/review_checklist_and_owasp_mapping.md

快速预防参考

漏洞	关键预防措施
SQL 注入	使用参数化查询/预处理语句
XSS	根据上下文对输出进行编码；酌情使用 CSP
命令注入	避免使用 shell；使用接受参数列表的 API
路径遍历	规范化路径；将基础目录加入允许列表
SSRF	URL 允许列表；阻止元数据/链路本地地址范围
密钥	使用环境变量/密钥管理器；切勿提交凭据
弱加密算法	使用 SHA-256 及以上版本、AES-256-GCM；避免使用 MD5/SHA1/DES/ECB
XXE	在 XML 解析器中禁用 DTD/外部实体
反序列化	不要反序列化不可信数据