mcpField
S
security-audit

security-audit

github.com/dirnbauer安全3383 次安装14 周前更新
代码仓库

关于 security-audit

面向代码库与 GitHub 仓库审查的安全审计 Skill，提供漏洞、云与 IaC、API 及 AI Agent 安全检查参考，并可按技术栈运行扫描脚本。

主要功能

  1. 01覆盖 OWASP、CWE 与 CVSS 指南
  2. 02检查云与 IaC 配置
  3. 03审查 API、前端与 AI Agent 安全
  4. 04按技术栈分派扫描脚本
  5. 05提供 PHP 与 TYPO3 检查项

适用场景

  1. 01审查项目中的常见漏洞
  2. 02检查 GitHub Actions 工作流安全
  3. 03扫描云基础设施与依赖
  4. 04评估 AI Agent 配置风险

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/dirnbauer/webconsulting-skills --skill security-audit

安装后在 Claude Code 中输入/security-audit确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

checkpoints.yaml
evals/
evals.json
references/
android-sdk-security.md
angular-security.md
api-key-encryption.md
api-security.md
authentication-patterns.md
automated-scanning.md
aws-security.md
azure-security.md
blazor-security.md
ci-security-pipeline.md
cryptography-guide.md
csharp-security-features.md
cve-database.md
cve-patterns.md
cvss-scoring.md
cwe-top25.md
deserialization-prevention.md
django-security.md
dotnet-security.md
error-message-sanitization.md
express-security.md
fastapi-security.md
file-upload-security.md
flask-security.md
framework-security.md
frontend-security.md
gcp-security.md
gha-security.md

详细介绍

安全审计技能

安全审计模式（OWASP Top 10、LLM Top 10 2025、CWE Top 25 2025、CVSS v4.0）、云/IaC、GitHub 安全。80 多项 PHP/TYPO3 检查点（v14.3 LTS，见 typo3-security.md）。

专业领域

  • 漏洞：XXE、SQLi、XSS、CSRF、命令注入、路径遍历、文件上传、反序列化、SSRF、SSTI、JWT、类型混淆
  • 标准：OWASP Top 10 / API / LLM（2025）、CWE Top 25、CVSS v3.1/v4.0、OWASP ASVS
  • 云与 IaC：AWS；Terraform、Kubernetes、Docker、Helm
  • API 与前端：REST/GraphQL 授权、速率限制、批量赋值、CSP、DOM-XSS
  • AI Agent：审计 SKILL.md/AGENTS.md/CLAUDE.md/mcp.json/hooks.json；提示词注入；权限过度

参考文件（位于 references/ 中，默认扩展名为 .md）

  • 核心：owasp-top10、cwe-top25、xxe-prevention、cvss-scoring、api-key-encryption
  • 预防：deserialization-prevention、path-traversal-prevention、file-upload-security、input-validation、error-message-sanitization
  • 架构：authentication-patterns、security-headers、security-logging、cryptography-guide、security-invariants
  • 语言特性（*-security-features）：php、python、javascript-typescript、nodejs、go
  • 框架（*-security）：typo3、typo3-fluid、typo3-typoscript、symfony、react、vue
  • 云与 IaC：aws-security、iac-security
  • API 与前端：api-security、frontend-security
  • AI Agent：llm-security（OWASP LLM Top 10 2025）
  • 威胁：modern-attacks、cve-patterns
  • DevSecOps：ci-security-pipeline、supply-chain-security、automated-scanning、gha-security、git-history-secrets
  • 事件响应：supply-chain-incident-response

安全检查清单

  • semgrep/opengrep、trivy fs --severity HIGH,CRITICAL、gitleaks 均无问题
  • 密码使用 bcrypt/Argon2，状态变更时启用 CSRF 防护，TLS 1.2+
  • 服务端输入验证；使用参数化 SQL；关闭 XML 实体
  • 输出编码 + CSP；不对用户输入调用 unserialize()
  • 加密 API 密钥；清理异常消息
  • 秘密信息不进入 VCS；启用审计日志
  • 验证并重命名上传文件，将其存放在 Web 根目录之外
  • 启用 HSTS + X-Content-Type-Options 标头；扫描依赖项

GitHub Actions 安全

  • 切勿在 run: 中插入 ${{ inputs.* }} / ${{ github.event.* }} — 请使用 env:
  • 依赖项分诊：升级 > 覆盖 > 忽略。完整模式：references/gha-security.md。

验证

./scripts/security-audit-dispatcher.sh /path/to/project  # auto-detect stack
./scripts/security-audit.sh /path/to/project             # PHP-only
./scripts/github-security-audit.sh owner/repo            # GH repo

Dispatcher 根据指示文件检测技术栈，并运行匹配的 scripts/scanners/*.sh（涵盖 13 个生态系统；参见 references/ 索引）。

贡献：https://github.com/netresearch/security-audit-skill

致谢与归属

此技能基于 Netresearch DTT GmbH 的出色工作。

原始仓库：https://github.com/netresearch/security-audit-skill

版权所有 (c) Netresearch DTT GmbH — 方法论和最佳实践（MIT / CC-BY-SA-4.0）

特别感谢 Netresearch DTT GmbH 为 TYPO3 社区慷慨贡献开源成果，这些成果帮助塑造了此技能集合。 由 webconsulting.at 改编，用于此技能集合

评论

支持 Markdown