security-audit

安全审计技能

此技能提供全面的安全审计框架，确保在开发和审查过程中发现并解决常见漏洞。

审计清单

1. OWASP Top 10 和常见漏洞

• 注入：检查 SQL、命令或 NoSQL 注入点。确保使用参数化查询或进行适当的转义。
• 访问控制失效：确认用户无法访问超出其预期权限范围的资源。
• 不安全的设计：评估整体架构是否存在安全缺陷。
• 加密失败：确保敏感数据（密码、PII）在静态存储和传输过程中使用现代算法加密（例如，AES-256、TLS 1.3）。

2. 依赖项管理

• 漏洞扫描：检查第三方库中是否存在已知漏洞（例如，使用 npm audit、pip-audit 或 snyk）。
• 过期软件包：找出并更新明显过时的依赖项。

3. 身份验证与授权

• 凭据管理：确保绝不以明文形式存储密码（使用 Argon2、bcrypt 或 scrypt）。
• 会话管理：确认会话处理安全（Cookie 使用 HttpOnly、Secure、SameSite 标志）。
• MFA/2FA：检查是否在适当情况下实现或要求多因素身份验证。

4. 输入验证与数据处理

• 清理：在信任边界验证并清理所有用户提供的数据。
• 编码：确保使用输出编码来防止跨站脚本攻击（XSS）。
• 密钥管理：确认 API 密钥、秘密和凭据未提交到代码仓库（使用环境变量或密钥管理器）。

使用指南

当用户要求“审计”或“执行安全审查”时：

1. 系统地检查上述每个类别。
2. 对每项发现按严重程度分类（严重、高、中、低）。
3. 为发现的每个问题提供明确的修复步骤。
4. 记录已经采取的良好安全实践。