mcpField
R
review

review

github.com/kevinchamplin安全335 次安装22 周前更新
代码仓库

关于 review

用于部署前检查待提交代码变更中的安全漏洞与质量问题。它按文件、行号和严重程度报告发现，且不会修改代码。

主要功能

  1. 01检查暂存和未暂存差异
  2. 02扫描常见安全风险
  3. 03检查实现与错误处理
  4. 04按严重程度报告问题

适用场景

  1. 01部署前检查代码变更
  2. 02查找差异中的凭据泄露
  3. 03审查大型变更的安全问题

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/kevinchamplin/claude-skills --skill review

安装后在 Claude Code 中输入/review确认已加载。

详细介绍

审查 — 部署前安全与质量检查

检查所有待处理的更改，排查安全漏洞、凭据泄露和质量问题。

步骤

  1. 收集更改：

    • git diff（未暂存）和 git diff --staged（已暂存）
    • 如果没有本地更改，则与基准分支比较差异：git diff main...HEAD（或 master）

  2. 安全扫描 — 检查差异中是否存在：

    • 凭据泄露：源代码中硬编码的 API 密钥、密码、令牌、密钥、.env 值
    • SQL 注入：查询中使用未经参数化处理的原始用户输入
    • XSS：在 HTML/JSX 中渲染未经转义的用户输入
    • 命令注入：将用户输入传入 shell 命令
    • IDOR：访问指定 ID 资源的端点缺少授权检查
    • 调试代码：var_dump、含敏感数据的 console.log、dd()、遗留的 die() 调用
    • .env 更改：如果修改了 .env，请标记——它几乎不应该被提交
    • API 密钥暴露：客户端代码中硬编码的大模型 API 密钥（OpenAI、Anthropic）、支付密钥（Stripe）、身份验证密钥
    • 提示词注入：未经清理就将用户输入直接拼接到大模型提示词中
    • SSRF：将用户控制的 URL 传入服务端 fetch/curl，且未进行验证

  3. 质量扫描 — 检查以下问题：

    • 未完成的实现（新代码中的 TODO/FIXME/HACK 注释）
    • 错误处理缺失（空的 catch 块、被吞掉的异常）
    • 明显的逻辑错误
    • 疑似意外包含的文件（.DS_Store、node_modules、编译后的资源）

  4. 报告：

    • 如果发现问题：逐项列出文件、行号和严重程度（CRITICAL / WARNING / INFO）
    • 如果没有问题：用一行“全部通过”确认
    • 报告应简洁明了，不要添加无关内容

规则

  • 审查期间绝不修改代码——只报告发现的问题
  • 重点检查差异，而非整个代码库
  • CRITICAL 问题 = 部署前必须修复（凭据、注入、授权绕过）
  • WARNING = 应当修复（调试代码、缺少错误处理）
  • INFO = 建议修复（风格、小幅改进）
  • 如果差异非常大（50+ 个文件），请委派给 Explore Agent

评论

支持 Markdown