mcpField
S
security

security

github.com/htlin222安全7840 次安装3 周前更新
代码仓库

关于 security

面向开发者的安全审查技能，可用于检查代码与架构或落实更安全的应用实践。内容按 OWASP Top 10 组织，并提供审计报告格式。

主要功能

  1. 01OWASP Top 10 审查清单
  2. 02安全响应头建议
  3. 03身份验证实现示例
  4. 04按严重级别组织审计报告

适用场景

  1. 01审查身份验证与授权代码
  2. 02在应用上线前进行检查
  3. 03评估敏感数据处理方式

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/htlin222/dotfiles --skill security

安装后在 Claude Code 中输入/security确认已加载。

详细介绍

安全审计

识别漏洞并实施安全编码实践。

适用场景

  • 审查代码或架构的安全性
  • 实施身份验证／授权
  • 部署到生产环境之前
  • 用户询问安全最佳实践
  • 处理敏感数据

OWASP Top 10 检查清单

  1. 注入 - 使用参数化查询、清理输入
  2. 身份验证失效 - 使用可靠的会话、MFA、安全存储密码
  3. 敏感数据 - 对静态和传输中的数据进行加密，尽量减少数据暴露
  4. XXE - 禁用外部实体，使用 JSON 而非 XML
  5. 访问控制失效 - 使用 RBAC，默认拒绝
  6. 安全配置错误 - 使用安全默认设置，移除调试信息
  7. XSS - 对输出进行编码，设置 CSP 标头
  8. 不安全的反序列化 - 验证输入，避免使用原生序列化
  9. 易受攻击的组件 - 扫描依赖项并及时更新
  10. 日志记录 - 记录审计日志，日志中不包含敏感数据

安全标头

Content-Security-Policy: default-src 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Strict-Transport-Security: max-age=31536000; includeSubDomains

身份验证实现

// Password hashing
const hash = await bcrypt.hash(password, 12);

// JWT with short expiry
const token = jwt.sign({ userId }, secret, { expiresIn: "15m" });

// Refresh token rotation
const refreshToken = crypto.randomBytes(32).toString("hex");

审计输出格式

## Security Audit Report

**Severity Levels:** Critical | High | Medium | Low

### Critical

- [Issue]: [Description] → [Fix]

### High

- [Issue]: [Description] → [Fix]

### Recommendations

- [Improvement suggestion]

示例

输入：“审查身份验证实现” **操作：**检查密码存储、会话管理、令牌处理，并报告发现的问题

输入：“保护此 API” **操作：**添加输入验证、身份验证检查、速率限制和安全标头

评论

支持 Markdown