关于 secure-code-review
面向 Hack23 项目的安全代码审查技能，帮助团队在合并前发现漏洞、不安全模式和合规问题。它结合人工审查清单与自动扫描要求，覆盖权限、数据保护、错误处理和依赖项。
主要功能
- 01要求变更合并前进行安全审查
- 02检查 OWASP Top 10 风险
- 03核验输入、输出与权限控制
- 04检查机密、错误处理和加密
- 05规定自动扫描与分支保护
适用场景
- 01审查拉取请求中的安全影响
- 02检查新端点的授权控制
- 03评估新增依赖的漏洞风险
- 04配置仓库的自动安全检查
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/secure-code-review确认已加载。
详细介绍
安全代码审查技能
目的
在所有 Hack23 项目中建立以安全为重点的代码审查实践，确保在代码进入生产环境之前识别并修复安全漏洞、不安全模式和合规违规问题。
规则
审查要求
必须：
- 在合并前审查所有代码变更的安全影响
- 将自动化安全扫描（CodeQL、Dependabot）作为第一道防线
- 在每次审查中检查 OWASP Top 10 漏洞
- 验证输入校验和输出编码是否正确
- 确认代码或配置中不包含机密、凭据或密钥
- 验证错误处理是否妥当（不泄露信息）
- 检查新端点或资源的授权控制
- 验证加密函数是否使用得当
- 检查新增依赖是否存在已知漏洞
不得：
- 批准存在已知严重／高危漏洞的代码
- 跳过“次要”变更的安全审查（攻击者会利用微小变更）
- 批准在没有记录充分理由的情况下禁用安全控制的代码
- 允许对安全敏感变更进行自我批准
安全审查清单
对于每个拉取请求，请确认：
身份验证与授权：
- 对非公开资源强制执行身份验证
- 在每个访问点检查授权
- 遵循最小权限原则
输入／输出：
- 对所有输入进行校验（采用允许列表方法）
- 根据上下文对输出进行适当编码
- 未经清理，不会直接回显原始用户输入
数据保护：
- 敏感数据在静态存储和传输过程中均已加密
- 源代码或配置文件中不包含机密
- 数据分类与处理方式相符
错误处理：
- 不向用户暴露堆栈跟踪
- 安全地记录错误（日志中不包含敏感数据）
- 能够平稳地失败，且不会绕过安全控制
依赖项：
- 检查新依赖是否存在漏洞
- 将依赖项版本固定为特定版本
- 未添加不必要的依赖项
自动化扫描集成
必须在所有代码仓库中配置：
- 在推送和拉取请求时运行 GitHub CodeQL 分析
- 启用 Dependabot 警报
- 启用机密扫描
- 设置分支保护，要求状态检查通过
Hack23 ISMS 政策参考
合规映射
- ISO 27001:2022：A.8.25（安全开发生命周期）、A.8.4（源代码访问）
- NIST CSF 2.0：PR.DS（数据安全）、PR.IP（信息保护）
- CIS Controls v8.1：控制项 16（应用软件安全）
评论
支持 Markdown