关于 security-checklist
面向 Micronaut/Kotlin 后端代码的安全审计技能，按固定类别检查常见问题，并生成逐项通过或失败的报告及修复示例。
主要功能
- 01审计身份验证与授权
- 02检查输入验证和 SQL 注入风险
- 03审查常见漏洞类别
- 04检查机密信息与响应处理
- 05提供逐项结果和修复示例
适用场景
- 01合并前审查后端代码变更
- 02为端点添加身份验证和授权
- 03检查新端点的输入验证
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-checklist确认已加载。
附带文件audit-reference.md
详细介绍
安全检查清单
针对 Micronaut/Kotlin 后端代码运行安全审计。
适用场景
- 为端点添加身份验证或授权
- 验证新增或变更端点上的用户输入
- 合并前审查代码中的安全问题
- 检查常见漏洞（SQL 注入、XSS、IDOR）
- 设置机密管理
流程
代码示例、漏洞表以及安全/危险模式请参阅 audit-reference.md。
- 检查身份验证 — 每个控制器都有 @Secured，当前用户来自安全上下文
- 检查授权 — 在返回资源前，确认用户有权访问该资源
- 检查输入验证 — 控制器参数使用 @Valid，请求 DTO 使用 Jakarta 注解
- 检查 SQL 注入防护 — 使用 Exposed ORM（自动进行参数化），绝不使用字符串拼接编写原始 SQL
- 检查常见漏洞 — SQL 注入、XSS、CSRF、身份验证绕过、IDOR、批量赋值、数据泄露、速率限制
- 检查机密管理 — 不硬编码机密，使用环境变量，绝不记录令牌/密码/PII，绝不提交 .env
- 检查响应数据清理 — 通过响应 DTO 控制暴露内容，绝不返回原始实体
交互风格
- 始终检查所有类别，不跳过任何部分
- 优先标出最危险的问题
- 为每项修复提供代码示例，而不只是描述
- 说明问题所在，以及如何修复
规则
- 每个端点都必须有 @Secured 注解
- 管理员端点使用 OAuthSecurityRule.ADMIN
- 用户只能访问自己的资源（管理员可以访问所有资源）
- 使用 @Valid 和 Jakarta 注解验证输入
- 不使用字符串拼接编写原始 SQL 查询
- 从响应 DTO 中排除敏感字段
- 绝不记录令牌/密码
- 错误消息不得泄露内部细节
- 在身份验证端点启用速率限制
输出
生成一份检查清单报告，列出每个类别的通过/失败情况：
- 所有端点都有 @Secured 注解
- 管理员端点使用 OAuthSecurityRule.ADMIN
- 用户只能访问自己的资源（管理员可以访问所有资源）
- 使用 @Valid 和 Jakarta 注解验证输入
- 不使用字符串拼接编写原始 SQL 查询
- 从响应 DTO 中排除敏感字段
- 绝不记录令牌/密码
- 错误消息不得泄露内部细节
- 在身份验证端点启用速率限制
评论
支持 Markdown