mcpField
R
review-security

review-security

github.com/gtrabanco安全2285 次安装今天更新
代码仓库

关于 review-security

供 Agent 使用的内部安全审查技能，只检查变更，不编辑代码。它按必查清单评估风险，并以固定格式返回附有依据的发现。

主要功能

  1. 01检查凭据和密钥是否暴露
  2. 02审查输入验证与注入风险
  3. 03检查身份验证和访问控制
  4. 04只报告问题，不修改代码

适用场景

  1. 01合并前审查代码变更
  2. 02检查变更入口的安全问题

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/gtrabanco/agentic-workflow --skill review-security

安装后在 Claude Code 中输入/review-security确认已加载。

详细介绍

安全审查（内部）

由 review-change / product-audit 在其对话中组成——对于任何 Agent，请将此文件作为路由步骤内联遵循。仅报告发现；绝不编辑， 绝不重构。

范围

调用方传入的差异或路径/Glob；默认审查当前更改与默认 分支之间的差异。在返回表格顶部注明范围。

检查清单（评估每一项——没有可选项；不适用必须注明）

✓ 代码、配置、测试或 fixture 中没有密钥/凭据/令牌（对 差异执行 grep，查找类似密钥的字符串） ✓ 更改路径中的每个外部输入在使用前都经过验证/清理 ✓ 没有注入向量（SQL/命令/路径/模板）——使用参数化/转义， 绝不拼接 ✓ 对每个新增/更改的端点或入口点都强制执行身份验证/授权（注明 位置） ✓ 更改路径中没有将 PII 或密钥写入日志/错误消息 ✓ Webhook/回调在处理前验证签名 ✓ 新增公共接口出现时，已考虑速率限制/滥用控制 （若无则标记为不适用） ✓ 新增/更新的依赖已锁定版本，且没有已知的严重级别漏洞通告（说明 检查方式） ✓ 错误响应不会泄露堆栈跟踪或内部路径 ✓ 不存在对不可信数据进行的不安全反序列化/动态求值

重要性门槛

仅当合格用户的结果会发生变化，或违反了项目明确声明的规则时，才报告一行——在证据旁注明违反的规则。 不属于发现的情况：注释/标点拼写错误、仅格式偏差、没有引用规则的风格偏好，以及超出 SPEC 所列场景的假设性健壮性问题。 格式正确的更改预期得到空表格和 Decision: PASS——绝不凑数。

必须严格返回

REVIEW SECURITY — scope: <scope>

| # | Finding | Sev | Evidence | Suggested fix |
|---|---------|-----|----------|---------------|
| 1 | <what>  | critical|major|minor | <file:line> | <smallest action> |

Checklist: <n> evaluated, <n> pass, <n> findings, <n> n/a (<which + why>)
Summary: <1-2 sentences>
Decision: PASS | FAIL

若有任何未解决的严重或重大问题，结果为 FAIL；否则为 PASS。轻微问题不会阻止通过——将其交由调用方的分类步骤处理。

完成条件

  • 每项检查清单均有证据（文件:行号或命令输出），或明确标记为不适用并说明原因。
  • 返回上述固定格式区块——仅此内容，不多不少；且未更改任何代码。

评论

支持 Markdown