mcpField
I
inspect-security

inspect-security

github.com/venhdev安全152 次安装今天更新
代码仓库

关于 inspect-security

inspect-security 是用于审计指定文件、目录或子系统安全风险的 Agent Skill。它通过范围门槛和安全准则开展检查，区分局部修复与架构重构，并生成结构化审计报告。

主要功能

  1. 01要求明确指定审计目标
  2. 02检查威胁、授权、加密、污点汇点与竞态
  3. 03依据安全准则评估
  4. 04按修复范围分类发现
  5. 05生成结构化审计报告

适用场景

  1. 01审计指定子系统的安全风险
  2. 02区分局部补丁与系统性加固
  3. 03依据安全准则复核发现

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/venhdev/skills --skill inspect-security

安装后在 Claude Code 中输入/inspect-security确认已加载。

附带文件references/security-rubric.md

详细介绍

inspect-security — 软件安全与威胁暴露审计器

领域准则

1. 范围与可容忍性防护措施（忽略哪些内容）
  • 强制目标范围：用户必须指定明确的目标路径（file、directory 或 subsystem）。如果未提供目标范围，立即停止当前轮次并提示用户："Vui lòng chỉ định rõ phạm vi kiểm tra (file, thư mục hoặc subsystem) khi sử dụng /inspect-security."；禁止对整个代码库进行推测性扫描。
  • 漏洞债务与 Linter 琐事：将分析严格限定为可采取行动的威胁暴露、授权失效、加密缺陷、污点汇聚点和并发竞争；基础 AST 格式、语法风格偏好和空白问题全部交由原生 Linter 处理。
  • 准则依据：严格依据 references/security-rubric.md 评估安全模式。
2. 决策分流：[LOCAL-FIX] 与 [ARCHITECTURAL-REFACTOR]
  • [LOCAL-FIX]（函数内局部修补）：为原始 ORM 查询添加参数化、将 Math.random() 替换为 CSPRNG、添加带预哈希的恒定时间 timingSafeEqual、严格执行 DTO 模式白名单、使用 io.LimitReader 包装流，或固定 JWT 算法。将会改变行为的修复转交 /changeset；仅在有受支持且已授权的 changeset 时使用 /forge。
  • [ARCHITECTURAL-REFACTOR]（系统性结构加固）：引入 PostgreSQL 行级安全（RLS）以隔离租户、部署专用出口代理（Smokescreen/Envoy）以缓解 SSRF、实现带泄露级联处理的 Token Family 刷新轮换机制、将余额变更改为原子条件 SQL / 账本操作，或引入分布式滑动窗口速率限制。将修复转交 /changeset。

标准输出约定

# Security Audit Dossier: <Target Scope>

## 1. Executive Summary
- **Target Inspected**: `<directory_or_file_path>`
- **Security Posture**: <HARDENED | LOCALIZED_RISKS | CRITICAL_EXPOSURE>
- **Primary Threat Vector**: <Single-sentence summary of highest-severity exploit scenario or systemic hazard>

## 2. Load-Bearing Defect Catalog
### [<CRITICAL | HIGH | MEDIUM>] [<LOCAL-FIX | ARCHITECTURAL-REFACTOR>] <Dimension>: `<Target Symbol / Route>`
- **Offending Code**: [<file>#L<N>](file:///path/to/file#L<N>)
- **Violated Rubric**: [<spec_or_dimension>](references/security-rubric.md#anchor)
- **Threat & Exploit Scenario**: <Observable attack vector, failure mode, or privilege escalation scenario>
- **Action**: <[LOCAL-FIX] Local patch OR [ARCHITECTURAL-REFACTOR] Systemic architecture hardening>

*(Emit 'No load-bearing security defects observed across rubric dimensions' if clean)*
路由
  • 已有受支持的 changeset 授权安全修复及所需验证 →（通过 /forge）。
  • 需要进行范围暂存的局部或系统性安全修补，包括授权、加密或数据契约变更 →（通过 /changeset）。

执行协议

  1. 接收请求与范围门槛：

    • 接收目标范围（file、directory 或 subsystem）。
    • 执行范围门槛：如果未提供明确范围，立即停止当前轮次并提示用户："Vui lòng chỉ định rõ phạm vi kiểm tra (file, thư mục hoặc subsystem) khi sử dụng /inspect-security."
    • 阅读并依据 references/security-rubric.md 开展评估。

  2. 按规模调整的务实审计：

    • 轮内执行（少于 10 个文件或属于内聚模块）：在当前轮次中直接依据准则维度审计代码。
    • 子 Agent 分工（范围广泛、涉及多个软件包的子系统）：启动 2–3 个 research 子 Agent（角色：Security Inspector (<Slice>)），并提供切片坐标、已发现的锚点、领域准则和输出约定。
    • 执行第 1 节防护措施：忽略风格噪声；明确将每项发现归类为 [LOCAL-FIX] 或 [ARCHITECTURAL-REFACTOR]。

  3. 综合分析与轮次终止门槛：

    • 将发现汇总至标准输出约定中。
    • 确定最终安全态势（HARDENED、LOCALIZED_RISKS、CRITICAL_EXPOSURE）。
    • 将完成的审计报告呈现在对话流中，并立即停止当前轮次。

评论

支持 Markdown