production-code-audit

生产代码审计

详细指南

执行此技能前，请阅读详细指南。其中保留了完整流程和参考资料。请将其中的安全要求、前置条件和验证要求视为强制要求。针对特定任务，请加载相关章节；如需端到端完成工作，请通读整份指南。

何时使用此技能

• 用户说“让这个达到生产就绪状态”时
• 用户说“审计我的代码库”时
• 用户说“让这个达到专业／企业级水准”时
• 用户说“优化所有内容”时
• 用户希望达到企业级质量时
• 准备部署到生产环境时
• 代码需要符合企业标准时

示例：修复查询

对于拼接的 PostgreSQL 查询中由请求控制的电子邮件地址，应追踪输入并确认驱动程序，然后使用其参数绑定 API 替代字符串拼接：

// pg-compatible example; driver and database fixtures must be supplied.
const result = await db.query('SELECT id FROM users WHERE email = $1', [email]);

验证正常匹配、无匹配以及包含引号的合成输入。记录实际执行的命令和结果；不要仅凭代码片段就断言测试通过。如果发现凭据，从源码中移除凭据并不会使其失效：应向获授权的负责人报告凭据轮换以及历史记录／构建产物暴露风险，不要复制凭据值。

输出示例（结构示意）

Scope: repository, base/head, files fully read, excluded/unavailable files.
Finding: path:line, trigger, observed behavior, impact and severity rationale.
Repair: minimal change and why it preserves the intended behavior.
Validation: command/environment/result, or explicitly not run with reason.
Remaining gaps: unsupported runtime, unreviewed deployment, external configuration.
Readiness: evidence available and specific unresolved criteria; no blanket certification.

任何指标都必须基于可复现的测量，并注明数据集、环境以及基线／当前版本。扫描器未发现问题并不意味着不存在漏洞；OWASP Top 10 是一份安全意识清单，并非“合规”证书。审计请求并不授权部署、配置遥测／缓存或联系第三方。

限制

• 仅当任务明确符合上述范围时，才使用此技能。
• 不要将输出视为特定环境验证、测试或专家审查的替代品。
• 如果缺少必需的输入、权限、安全边界或成功标准，请停止并请求澄清。