mcpField
I
inspect-security

inspect-security

github.com/venhdev安全1102 次安装今天更新
代码仓库

关于 inspect-security

inspect-security 是安全审计技能，用于检查用户指定的文件、目录或子系统中的可行动威胁。它将发现分类为局部修复或架构重构，并生成安全审计报告。

主要功能

  1. 01要求明确指定检查范围
  2. 02检查威胁暴露和授权缺陷
  3. 03审查加密与污点风险
  4. 04识别并发竞态风险
  5. 05按范围分类修复方案
  6. 06生成结构化审计报告

适用场景

  1. 01审计指定子系统的安全风险
  2. 02检查选定路径中的授权行为
  3. 03评估加密模式和污点汇
  4. 04区分局部补丁与系统性加固

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/venhdev/zenforge --skill inspect-security

安装后在 Claude Code 中输入/inspect-security确认已加载。

附带文件references/security-rubric.md

详细介绍

inspect-security — 软件安全与威胁暴露审计器

领域准则

1. 范围与容忍度防护规则（忽略什么）
  • 强制目标范围：用户必须指定明确的目标路径（file、directory 或 subsystem）。如果未提供目标范围，立即停止当前轮次并提示用户："Please specify an explicit target scope (file, directory, or subsystem) when invoking /inspect-security."；禁止推测性地扫描整个仓库。
  • 漏洞债务与 Linter 小问题：严格将分析限定于可采取行动的威胁暴露、授权失效、加密缺陷、污点汇以及并发竞争；基本 AST 格式、语法风格偏好和空白问题一律交由原生 Linter 处理。
  • 基准参考：严格依据 references/security-rubric.md 评估安全模式。
2. 决策分流：[LOCAL-FIX] 与 [ARCHITECTURAL-REFACTOR]
  • [LOCAL-FIX]（函数内局部补丁）：为原始 ORM 查询添加参数化、将 Math.random() 替换为 CSPRNG、在预哈希后添加常量时间的 timingSafeEqual、严格执行 DTO 架构白名单、使用 io.LimitReader 包装流，或固定 JWT 算法。将会改变行为的修复转交给 /changeset；仅在有受支持且获授权的 changeset 时使用 /forge。
  • [ARCHITECTURAL-REFACTOR]（系统级结构加固）：引入 PostgreSQL 行级安全（RLS）实现租户隔离、部署专用出口代理（Smokescreen/Envoy）以缓解 SSRF、实现带违规级联处理的 Token Family 刷新轮换、将余额变更转为原子条件 SQL／账本操作，或引入分布式滑动窗口速率限制。将修复转交给 /changeset。

规范输出约定

# Security Audit Dossier: <Target Scope>

## 1. Executive Summary
- **Target Inspected**: `<directory_or_file_path>`
- **Security Posture**: <HARDENED | LOCALIZED_RISKS | CRITICAL_EXPOSURE>
- **Primary Threat Vector**: <Single-sentence summary of highest-severity exploit scenario or systemic hazard>

## 2. Load-Bearing Defect Catalog
### [<CRITICAL | HIGH | MEDIUM>] [<LOCAL-FIX | ARCHITECTURAL-REFACTOR>] <Dimension>: `<Target Symbol / Route>`
- **Offending Code**: [<file>#L<N>](file:///path/to/file#L<N>)
- **Violated Rubric**: [<spec_or_dimension>](references/security-rubric.md#anchor)
- **Threat & Exploit Scenario**: <Observable attack vector, failure mode, or privilege escalation scenario>
- **Action**: <[LOCAL-FIX] Local patch OR [ARCHITECTURAL-REFACTOR] Systemic architecture hardening>

*(Emit 'No load-bearing security defects observed across rubric dimensions' if clean)*
路由
  • 已有受支持的 changeset 授权安全修复和所需验证 →（通过 /forge）。
  • 需要暂存范围的局部或系统级安全补丁，包括授权、加密或数据契约变更 →（通过 /changeset）。

执行协议

  1. 接收与范围检查：

    • 接收目标范围（file、directory 或 subsystem）。
    • 强制执行范围检查：如果未提供明确范围，立即停止当前轮次并提示用户："Please specify an explicit target scope (file, directory, or subsystem) when invoking /inspect-security."
    • 阅读并以 references/security-rubric.md 为依据。

  2. 自适应规模的务实审计：

    • 当前轮次内执行（少于 10 个文件或属于内聚模块）：直接依据准则维度审计代码。
    • 子 Agent 扇出（范围广泛的多包子系统）：动态启动并发 research 子 Agent，按分区切片或调用方声明的预算进行扩展（角色：Security Inspector (<Slice>)），并提供切片坐标、发现的锚点、领域准则和输出约定（将详尽的证明追踪或 PoC 转存至 .agents/scratch/security-<slice>-dossier.md）。
    • 执行第 1 节防护规则：忽略风格噪声；将每项发现明确归类为 [LOCAL-FIX] 或 [ARCHITECTURAL-REFACTOR]。

  3. 综合与轮次终止检查：

    • 将发现整合进规范输出约定，并附上任何已转存档案的指针。
    • 判定明确的安全态势（HARDENED、LOCALIZED_RISKS、CRITICAL_EXPOSURE）。
    • 将完整档案提交到对话流中，并立即停止当前轮次。

评论

支持 Markdown