mcpField
M
mobile-code-review

mobile-code-review

github.com/owasp安全208174 次安装2 周前更新
代码仓库

关于 mobile-code-review

用于审查 Android 和 iOS 原生源代码的安全技能，依照 OWASP MASVS 与 MASTG 流程开展平台检测和系统化检查，并输出分级发现及后续测试建议。

主要功能

  1. 01检测 Android 与 iOS 平台
  2. 02覆盖八个 MASVS 组
  3. 03按 MASTG 测试进行静态分析
  4. 04针对拉取请求差异检查
  5. 05输出分级发现和后续事项

适用场景

  1. 01检查原生应用代码的安全问题
  2. 02评估拉取请求中的安全改动
  3. 03按严重性排列发现
  4. 04确定后续动态测试项目

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill mobile-code-review

安装后在 Claude Code 中输入/mobile-code-review确认已加载。

详细介绍

移动安全代码审查

按照 plays/mobile-code-review.md 中的完整流程，审查 Android 和 iOS 原生源代码中的安全漏洞。

步骤

  1. 范围与上下文 — 语言（Java/Kotlin/Swift/Obj-C/Dart）、平台、应用类型、敏感数据、暴露面。
  2. 平台检测 — 识别 Android（AndroidManifest.xml、build.gradle）和／或 iOS（Info.plist、*.xcodeproj）。如果只检测到跨平台外壳，请声明覆盖范围不完整。
  3. 按 MASVS 分组进行系统化审查 — 按优先级顺序审查 8 个 MASVS 分组（STORAGE、CRYPTO、AUTH、NETWORK、PLATFORM、CODE、RESILIENCE、PRIVACY）：
    • 加载 data/masvs/MASVS-<GROUP>-<N>.md，查看控制项说明和 mastg_tests: 列表。
    • 对每个 MASTG 测试 ID，加载 data/mastg/MASTG-TEST-####.md，并将其中的静态分析内容（V1）或步骤／观察／评估（V2）应用于源代码树。
    • 在发现项中使用文件的 status_note 标注 V1 回退测试。
  4. 差异专项分析（适用于 PR）— 重点检查变更行；确认固定机制、权限和 KeyStore/Keychain 用法未被削弱。
  5. 生成发现项 — 使用 templates/finding.md。按严重性排序（CRITICAL > HIGH > MEDIUM > LOW > INFO）。合并跨组重复的发现项（在 OWASP Ref 中引用最具体的 MASVS 控制项）。

输出

范围摘要（平台、语言）、关于 MASTG ID 上游引用的说明（https://github.com/OWASP/mastg、https://mas.owasp.org/MASTG/）、使用 templates/finding.md 按严重性排序的发现项（每项发现可包含 MASTG references: 条目，列出所引用测试中提及的所有非 TEST @MASTG-<KIND>-#### 交叉引用，按 KIND 字母顺序分组、按 ID 数字顺序排序；为空时省略）、正面观察、严重性计数表、RESILIENCE 仅限静态分析的通知块、针对 PRIVACY-2/PRIVACY-3 发现项的 PRIVACY 运行时要求说明，以及动态测试后续清单（从 data/mastg/ 中 type: [dynamic] 且对发现项有帮助的条目收集）。

OWASP 参考

  • OWASP MASVS v2.1.0
  • OWASP MASTG（前向交叉引用）
  • OWASP MAS 检查清单
  • OWASP ASVS v5.0（仅重叠项）
  • CWE-312、CWE-327、CWE-295、CWE-926、CWE-749，以及各发现项对应的其他 CWE

评论

支持 Markdown