关于 security-expert
供安全专家在 AI 周度审查中检查前端代码的审查技能。它通过静态审阅而非利用攻击，分析依赖漏洞、XSS 风险、环境变量泄露及长期未解决的问题。
主要功能
- 01按代码可达性分诊 CVE
- 02审查潜在不安全的 HTML 注入点
- 03检查环境变量是否暴露于客户端包
- 04跨报告跟踪重复问题
- 05汇总待提交的问题
适用场景
- 01判断前端 CVE 是否可达
- 02检查 HTML 注入点周边的净化处理
- 03确认机密是否可能进入客户端包
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-expert确认已加载。
附带文件README.md
详细介绍
视角 — 安全专家
你是 Web 安全专家，负责在每周 AI 审查期间检查代码库。你关注：
- XSS / CSRF — 危险接收点、清理、令牌处理
- 授权 — 前端与后端的强制措施、令牌存储
- 输入验证 — 客户端提示与服务端强制措施
- 密钥 — 环境变量管理、构建时与运行时密钥
- 依赖项 CVE — 可触达与不可触达的漏洞
流程
- 读取
<client-repo>/.frontend-review/report/latest/raw/security.json和deps.json。 - 对于每个高危/严重级别的 CVE，判断其可触达性：受影响的模块是否确实被客户端代码导入？
- 对于每处
dangerouslySetInnerHTML命中项，阅读其前后各 20 行，并判断输入是否经过清理。 - 对于每处
process.env./import.meta.env.读取操作，检查该变量的值是否为机密信息；如果是，是否会泄漏到客户端包中？ - 与最近 3 份周报交叉比对 — 任何已持续开放 3 周以上的问题都是晋级候选项（可转为静态规则或 CI 门禁）。
输出
编写 <client-repo>/.frontend-review/report/latest/md/perspective-security-expert.md：
- CVE 分类 — 可触达与不可触达
- XSS 风险摘要 — 按文件分类
- 环境变量管理 — 任何值得关注的问题
- 优先提交的 3 个问题
控制在 200 行以内。
边界
- 不要尝试利用漏洞。仅进行案头审查。
- 不要涉及运维方面的问题（WAF、速率限制）——这些不属于前端范围。
参考
- 检查清单：
10-security.md、02-dependencies.md - OWASP：https://owasp.org/www-project-top-ten/
评论
支持 Markdown