mcpField
S
security-audit

security-audit

github.com/netresearch安全51744 次安装1 天前更新
代码仓库

关于 security-audit

security-audit 是面向开发者的安全审计技能，适用于应用、云基础设施和 GitHub 仓库审查。它结合参考指南与脚本，可识别项目技术栈并运行匹配的扫描器，还提供针对 PHP/TYPO3 的检查。

主要功能

  1. 01OWASP、CWE 和 CVSS 审计指南
  2. 02应用与 API 漏洞检查
  3. 03云与 IaC 安全参考
  4. 04AI Agent 配置审计
  5. 05自动识别技术栈的审计调度器
  6. 06PHP 与 GitHub 审计脚本

适用场景

  1. 01检查应用中的常见漏洞
  2. 02审查 AWS 或 IaC 安全配置
  3. 03审计 AI Agent 文件与钩子
  4. 04对 GitHub 仓库运行安全检查

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/netresearch/security-audit-skill --skill security-audit

安装后在 Claude Code 中输入/security-audit确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

checkpoints.yaml
evals/
evals.json
references/
api-key-encryption.md
api-security.md
authentication-patterns.md
automated-scanning.md
aws-security.md
ci-security-pipeline.md
cryptography-guide.md
cve-patterns.md
cvss-scoring.md
cwe-top25.md
deserialization-prevention.md
error-message-sanitization.md
file-upload-security.md
frontend-security.md
gha-security.md
git-history-secrets.md
go-security-features.md
iac-security.md
indistinguishability-defences.md
input-validation.md
javascript-typescript-security-features.md
llm-security.md
modern-attacks.md
nodejs-security-features.md
owasp-top10.md
path-traversal-prevention.md
php-security-features.md
python-security-features.md

详细介绍

安全审计技能

安全审计模式（OWASP Top 10、LLM Top 10 2025、CWE Top 25 2025、CVSS v4.0）、云/IaC、GitHub 安全。80 多项 PHP/TYPO3 检查点（v14.3 LTS，详见 typo3-security.md）。

专业领域

  • 漏洞：XXE、SQLi、XSS、CSRF、命令注入、路径遍历、文件上传、反序列化、SSRF、SSTI、JWT、类型混淆
  • 标准：OWASP Top 10 / API / LLM（2025）、CWE Top 25、CVSS v3.1/v4.0、OWASP ASVS
  • 云与 IaC：AWS；Terraform、Kubernetes、Docker、Helm
  • API 与前端：REST/GraphQL 授权、速率限制、批量赋值、CSP、DOM-XSS
  • AI Agent：审计 SKILL.md/AGENTS.md/CLAUDE.md/mcp.json/hooks.json；提示词注入；权限过度

参考文件（位于 references/ 中，默认扩展名为 .md）

  • 核心：owasp-top10、cwe-top25、xxe-prevention、cvss-scoring、api-key-encryption
  • 防护：deserialization-prevention、path-traversal-prevention、file-upload-security、input-validation、error-message-sanitization、ssh-forced-command-hardening
  • 架构：authentication-patterns、security-headers、security-logging、cryptography-guide、security-invariants、indistinguishability-defences
  • 语言特性（*-security-features）：php、python、javascript-typescript、nodejs、go
  • 框架（*-security）：typo3、typo3-fluid、typo3-typoscript、symfony、react、vue
  • 云与 IaC：aws-security、iac-security
  • API 与前端：api-security、frontend-security
  • AI Agent：llm-security（OWASP LLM Top 10 2025）
  • 威胁：modern-attacks、cve-patterns
  • DevSecOps：ci-security-pipeline、supply-chain-security、automated-scanning、gha-security、git-history-secrets
  • 事件：supply-chain-incident-response

安全检查清单

  • semgrep/opengrep、trivy fs --severity HIGH,CRITICAL、gitleaks 检查通过
  • 密码使用 bcrypt/Argon2；状态变更时启用 CSRF 防护；TLS 1.2+
  • 服务端输入验证；使用参数化 SQL；禁用 XML 实体
  • 输出编码 + CSP；不对用户输入使用 unserialize()
  • API 密钥已加密；异常消息已清理
  • 密钥未进入 VCS；已启用审计日志
  • 上传文件已验证、重命名，并存放在 Web 根目录之外
  • 启用 HSTS + X-Content-Type-Options 响应头；已扫描依赖项

GitHub Actions 安全

  • 绝不在 run: 中插入 ${{ inputs.* }} / ${{ github.event.* }} — 请使用 env:
  • 依赖项处置优先级：升级 > 覆盖 > 忽略。完整模式见 references/gha-security.md。

验证

./scripts/security-audit-dispatcher.sh /path/to/project  # auto-detect stack
./scripts/security-audit.sh /path/to/project             # PHP-only
./scripts/github-security-audit.sh owner/repo            # GH repo

分派器根据指示文件检测技术栈，并运行匹配的 scripts/scanners/*.sh（涵盖 13 个生态系统；参见 references/ 索引）。

贡献方式：https://github.com/netresearch/security-audit-skill

评论

支持 Markdown