mcpField
S
security-audit

security-audit

github.com/vladm3105安全1766 次安装1 天前更新
代码仓库

关于 security-audit

面向 SDD 项目的安全审计技能，可验证安全需求并检查代码、依赖项、基础设施和配置。它结合漏洞与合规检查及 STRIDE 威胁建模，生成按优先级整理的报告。

主要功能

  1. 01验证安全需求
  2. 02扫描代码与秘密信息
  3. 03检查基础设施和依赖项
  4. 04合规标准映射
  5. 05STRIDE 威胁建模
  6. 06按严重程度排序的修复报告

适用场景

  1. 01审查 SDD 项目的安全状况
  2. 02查找漏洞和泄露的秘密信息
  3. 03检查安全需求是否完整
  4. 04排列合规与威胁建模发现的优先级

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vladm3105/aidoc-flow-framework --skill security-audit

安装后在 Claude Code 中输入/security-audit确认已加载。

详细介绍

security-audit

用途

确保安全要求得到了妥善定义、实现和测试，并识别代码、依赖项、基础设施和配置中的漏洞。根据公认标准（OWASP Top 10、CWE，以及适用时的 GDPR/HIPAA/SOC 2/PCI DSS）验证合规性，并执行 STRIDE 威胁建模。安全要求追溯至 SPEC（第 6 层）以及其上游 EARS/ADR 中的安全主题。

适用场景

在以下情况下使用 security-audit：

  • 审查 SDD 项目或其实现的安全状况。
  • 验证 SPEC（及其上游 EARS/ADR）中的安全要求是否完整且可测试。
  • 扫描代码、依赖项、基础设施或配置中的漏洞、机密信息或合规性缺口。
  • 对组件或系统执行威胁建模。

不要将其用于一般（非安全相关）的制品质量检查（请使用 ../quality-advisor/SKILL.md），也不要用于可追溯性验证（请使用 ../doc-validator/SKILL.md）。

行为

审计以流水线方式运行，并生成一份报告：

  1. 要求验证 — 检查安全要求（来源于 SPEC 和上游 EARS/ADR）的完整性：身份验证/授权、数据保护、加密、密钥管理；标记缺失或含糊的要求。
  2. 代码扫描 — SAST（bandit、semgrep）、依赖项 CVE（safety、pip-audit）、机密信息检测（detect-secrets、gitleaks），以及针对注入、XSS 和 CSRF 的模式检查。严重问题会阻止部署。
  3. 基础设施扫描 — IaC（checkov、tfsec）、容器（trivy、grype）、Kubernetes，以及云/网络配置。
  4. 依赖项评估 — 已知 CVE、CVSS 评分、过时及传递性软件包，以及许可证合规性问题。
  5. 合规性检查 — OWASP Top 10（2021）覆盖情况和 CWE 映射，以及任何适用的监管框架。
  6. 威胁建模 — STRIDE 分析、攻击面和信任边界映射，并标明每项威胁的缓解状态。
  7. 报告 — 总体安全评分；按严重性（严重/高/中/低）分组的发现，并包含 file:line、CWE/CVE、CVSS 和修复方案；以及合规状态和按优先级排列的修复建议。严重问题会标记为部署阻断项。

目标：零个严重漏洞；仓库中没有机密信息；MUST 安全要求达到 100% 覆盖；完整覆盖 OWASP Top 10。

限制：无法检测所有业务逻辑缺陷；可能产生需要人工审核的误报；并且依赖最新的工具漏洞数据库。

相关资源

  • SPEC 层：${CLAUDE_PLUGIN_ROOT}/framework/layers/06_SPEC/README.md · ${CLAUDE_PLUGIN_ROOT}/framework/layers/06_SPEC/SPEC-TEMPLATE.yaml
  • 上游安全主题：${CLAUDE_PLUGIN_ROOT}/framework/layers/03_EARS/README.md · ${CLAUDE_PLUGIN_ROOT}/framework/layers/05_ADR/README.md
  • 治理：${CLAUDE_PLUGIN_ROOT}/framework/governance/（ID、标记和可追溯性标准）
  • 相关技能：../quality-advisor/SKILL.md · ../doc-validator/SKILL.md · ../doc-spec/SKILL.md
  • 参考资料：OWASP Top 10（2021）、CWE、OWASP ASVS

评论

支持 Markdown