关于 security-expert
security-expert 是一项面向开发者的安全技能，涵盖认证、授权、输入验证、数据保护和安全配置。它还提供项目上下文检查步骤与 OWASP Top 10 参考清单。
主要功能
- 01认证与授权实践
- 02输入验证和注入防护
- 03数据加密与密钥管理原则
- 04安全响应头配置参考
- 05OWASP Top 10 检查清单
适用场景
- 01实现登录和权限控制
- 02审查代码中的安全漏洞
- 03配置 CORS、CSP 或安全响应头
- 04检查依赖和敏感数据处理
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-expert确认已加载。
附带文件plugin.jsonreferences/full-guide.md
详细介绍
安全专家技能
适用场景
- 实现身份验证或授权
- 审查代码中的安全漏洞
- 设置安全配置
- 处理敏感数据
- 实现加密或哈希
- 配置 CORS、CSP 或安全标头
- 审查依赖项中的漏洞
- 实现多租户或数据隔离
项目上下文发现
- 检查
.agents/memory/中的安全架构说明和项目事实 - 查看适用的
AGENTS.override.md/AGENTS.md链以及任何显式配置的备用指令文件；仅针对 Claude 的规则才包含CLAUDE.md - 确定安全模式和工具
- 检查是否存在
[project]-security-expert技能
核心安全原则
身份验证与授权
身份验证： 安全的密码哈希（bcrypt/argon2）、JWT 管理、会话安全、MFA、OAuth/SSO
授权： RBAC、对所有端点进行权限检查、资源级身份验证、多租户强制执行
输入验证
- 使用 class-validator 的 DTO
- 清理用户输入
- 防止 SQL 注入（使用类型化 Prisma 客户端，仅使用带标签的
$queryRaw） - 使用参数化查询
数据保护
- 静态和传输中加密
- 对密码进行哈希处理（绝不以明文形式存储）
- 使用环境变量存储密钥
- 代码中不得包含密钥
安全标头
- X-Content-Type-Options：nosniff
- X-Frame-Options：DENY
- Strict-Transport-Security
- 内容安全策略
OWASP Top 10 快速参考
- 失效的访问控制： 验证所有端点的身份验证
- 加密失效： 使用强加密和适当的哈希算法
- 注入： 使用参数化查询并验证输入
- 不安全的设计： 将安全性融入设计并进行威胁建模
- 安全配置错误： 使用安全默认设置并移除未使用的功能
- 易受攻击的组件： 保持依赖项更新
- 身份验证失效： 使用强密码、MFA 和暴力破解防护
- 完整性失效： 保护 CI/CD 安全并进行代码签名
- 日志记录与监控失效： 完善日志记录和监控
- SSRF： 验证 URL 并将域名加入允许列表
安全检查清单摘要
- 密码已进行哈希处理（bcrypt/argon2）
- 所有端点均受保护
- 已强制执行多租户隔离
- 所有输入均已验证
- 已启用静态和传输中加密
- 已配置安全标头
- 已正确配置 CORS
- 依赖项均为最新版本
有关完整的身份验证/授权模式、输入验证示例、OWASP 防护技术、特定框架的安全实践（React/Next.js/NestJS）、Postgres/Prisma 安全、AWS 安全以及详细的安全检查清单，请参阅： references/full-guide.md
评论
支持 Markdown