security-prompts

安全提示词模板库

目的

此技能提供遵循 Secure Vibe Coding 方法的即用型安全提示词模板。每个模板都包含完整的安全控制、测试清单和自定义指南。

何时使用此技能

在以下场景中使用安全提示词模板：

• 构建功能：表单、API、文件上传、管理面板
• 实现身份验证：RBAC、权限、所有权检查
• 安全审查：威胁建模、代码审查、OWASP 合规性
• 测试：生成安全测试、漏洞评估

库的组织结构

📁 提示词工程模板（8 个模板）

位置：.claude/skills/security/security-prompts/prompt-engineering/

用于实现安全功能的综合提示词：

1. 01_secure_form.md - 具有完整安全防护体系的公开表单

   • 触发词："secure form"、"contact form"、"public form"
   • 控制：CSRF、速率限制、XSS 防护、验证

2. 02_authenticated_endpoint.md - 已验证身份的数据修改

   • 触发词："authenticated endpoint"、"user update"、"protected route"
   • 控制：身份验证、授权、所有权检查

3. 03_public_endpoint.md - 带分页功能的公开 API

   • 触发词："public API"、"public endpoint"、"GET endpoint"
   • 控制：速率限制、验证、分页

4. 04_admin_action.md - 仅限管理员使用并带有审计日志的功能

   • 触发词："admin endpoint"、"admin feature"、"admin action"
   • 控制：RBAC、审计日志、授权

5. 05_file_upload.md - 安全的文件处理

   • 触发词："file upload"、"image upload"、"file handling"
   • 控制：类型验证、大小限制、恶意软件扫描

6. 06_composable_middleware.md - 多层安全防护

   • 触发词："middleware"、"security layers"、"composable security"
   • 控制：正确排列中间件顺序、组合各防护层

7. 07_new_control.md - 扩展安全架构

   • 触发词："new security control"、"custom middleware"、"security utility"
   • 控制：创建新的可复用安全工具

8. 08_security_testing.md - 全面的安全测试

   • 触发词："security testing"、"security tests"、"test security"
   • 控制：为所有安全控制生成自动化测试

📁 威胁建模模板（8 个模板）

位置：.claude/skills/security/security-prompts/threat-modeling/

用于安全分析和审查的提示词：

1. 01_stride_analysis.md - 完整的 STRIDE 威胁模型

   • 触发词："STRIDE"、"threat model"、"security analysis"

2. 02_feature_threats.md - 针对特定功能的威胁分析

   • 触发词："feature threats"、"analyze feature security"

3. 03_architecture_impact.md - 架构变更的安全影响

   • 触发词："architecture security"、"security impact"

4. 04_code_review.md - 安全漏洞审查

   • 触发词："security review"、"code review"、"vulnerability review"

5. 05_security_tests.md - 自动生成安全测试

   • 触发词："generate security tests"、"security test suite"

6. 06_owasp_check.md - OWASP Top 10 合规性检查

   • 触发词："OWASP"、"OWASP check"、"OWASP compliance"

7. 07_payment_security.md - 支付安全（Clerk Billing + Stripe）

   • 触发词："payment security"、"Stripe security"、"billing security"

8. 08_update_model.md - 功能完成后更新威胁模型

   • 触发词："update threat model"、"refresh threat model"

📁 身份验证与授权模板（4 个模板）

位置：.claude/skills/security/security-prompts/auth-authorization/

用于身份验证和访问控制的提示词：

1. 01_rbac_implementation.md - 基于角色的访问控制

   • 触发词：“RBAC”、“基于角色的访问”、“用户角色”

2. 02_permissions.md - 细粒度权限系统

   • 触发词：“权限”、“权限系统”、“细粒度访问”

3. 03_ownership.md - 资源所有权验证

   • 触发词：“所有权”、“所有权检查”、“资源所有权”

4. 04_auth_testing.md - 授权测试

   • 触发词：“身份验证测试”、“授权测试”、“测试权限”

📁 内置控件模板（3 个模板）

位置：.claude/skills/security/security-prompts/built-in-controls/

使用现有 Secure Vibe Coding OS 工具的简单提示词：

1. 01_contact_form.md - 带安全保护的快速联系表单

   • 触发词：“联系表单”、“简单表单”

2. 02_authenticated_update.md - 用户数据修改

   • 触发词：“更新个人资料”、“用户更新”

3. 03_public_api.md - 公共 GET 端点

   • 触发词：“公共 API”、“只读 API”

如何使用安全提示词

快速使用流程

1. 确定需求（例如：“我需要一个安全的联系表单”）
2. 查找模板（使用触发词或浏览分类）
3. 阅读模板，了解安全控件
4. 复制并自定义提示词，以满足具体需求
5. 使用 Claude Code 运行提示词
6. 使用测试清单进行验证

模板访问流程

当用户请求实现安全功能时：

**Recommend the appropriate template:**

"I'll use the [TEMPLATE_NAME] security prompt template for this.

**Template**: `.claude/skills/security/security-prompts/[category]/[file].md`

**Security Controls Applied**:
- [List controls from template]

**Customizations needed**:
- [List what to customize]

Let me load the template and customize it for your needs..."

Then read and apply the template.

组合提示词

许多功能需要多个提示词：

示例：管理后台

1. 首先：auth-authorization/01_rbac_implementation.md（如果尚未设置 RBAC）
2. 然后：prompt-engineering/04_admin_action.md（用于每项管理功能）
3. 测试：prompt-engineering/08_security_testing.md
4. 审查：threat-modeling/04_code_review.md
5. 更新：threat-modeling/08_update_model.md

示例：编辑用户个人资料

1. 实现：prompt-engineering/02_authenticated_endpoint.md
2. 添加所有权检查：auth-authorization/03_ownership.md
3. 测试：auth-authorization/04_auth_testing.md

提示词模板格式

每个模板都遵循以下结构：

# [Template Name]

**Category**: [Category]
**When to Use**: [Scenario]
**Module**: [Course module]
**Time to Implement**: [Estimate]

## Security Controls Applied
[Checklist of security features]

## The Prompt
[Copy-paste ready prompt with placeholders]

## Customization Tips
[How to adapt for specific needs]

## Testing Checklist
[Verification steps]

## Related Prompts
[Links to complementary templates]

## Version History
[Change tracking]

与安全架构集成

所有提示词都会引用 Secure Vibe Coding OS：

• 架构：@docs/security/SECURITY_ARCHITECTURE.md
• 工具：/lib 目录（withCsrf、withRateLimit、validateRequest 等）
• 基准分数：90/100 OWASP 分数
• 技术栈：Next.js、Clerk、Convex、Stripe

始终在提示词中包含架构引用：

Reference: @docs/security/SECURITY_ARCHITECTURE.md

Agent 使用流程

当注重安全的 Agent（例如 security-scanner、threat-modeler）需要提示词模板时：

// Agent can reference specific templates
"Use the STRIDE analysis template from .claude/skills/security/security-prompts/threat-modeling/01_stride_analysis.md to create a threat model"

// Or request template by trigger
"Apply the secure form security prompt template to implement this contact form"

技能链式调用

此技能可与其他安全技能配合使用：

• security-awareness/* - 了解漏洞
• csrf-protection - CSRF 实现细节
• rate-limiting - 速率限制模式
• input-validation - 验证策略
• auth-security - Clerk 身份验证
• security-testing - 测试方法

按场景快速查找

“我需要添加……”

“……一个联系表单” → built-in-controls/01_contact_form.md

“……用户个人资料编辑功能” → prompt-engineering/02_authenticated_endpoint.md → 然后：auth-authorization/03_ownership.md

“……管理功能” → auth-authorization/01_rbac_implementation.md（如有需要） → 然后：prompt-engineering/04_admin_action.md

“……文件上传功能” → prompt-engineering/05_file_upload.md

“……一个公共 API” → built-in-controls/03_public_api.md

“我需要审查……”

“……部署前的安全性” → prompt-engineering/08_security_testing.md → threat-modeling/04_code_review.md

“……OWASP 合规性” → threat-modeling/06_owasp_check.md

“……支付安全性” → threat-modeling/07_payment_security.md

“我需要创建……”

“……威胁模型” → threat-modeling/01_stride_analysis.md

“……基于角色的访问控制” → auth-authorization/01_rbac_implementation.md

“……安全测试” → prompt-engineering/08_security_testing.md

最佳实践

始终进行自定义

• 将占位符替换为你的具体值
• 根据你的使用场景调整速率限制
• 根据你的数据修改验证规则

始终进行测试

• 使用每个模板中的测试清单
• 部署前运行安全测试
• 验证所有控制措施都能按预期工作

始终更新威胁模型

• 每次添加功能后：threat-modeling/08_update_model.md
• 维护 docs/security/THREAT_MODEL.md
• 为威胁模型添加版本号（v1.0、v1.1 等）

合理串联

• 身份验证 → 授权 → 所有权
• 实现 → 测试 → 审查
• 功能 → 威胁分析 → 模型更新

支持文件

每个类别都有自己的 SKILL.md，其中包含：

• 详细的触发关键词
• 类别专属指南
• 模板说明
• 使用模式

直接访问支持模板：

Read: .claude/skills/security/security-prompts/[category]/[template].md

Agent 集成示例

# Security Implementation Agent

When implementing security features:

1. **Identify feature type** (form, API, auth, etc.)
2. **Load appropriate security-prompts skill template**
3. **Customize template** with user's specific requirements
4. **Generate secure implementation** following template
5. **Apply testing checklist** from template
6. **Recommend related prompts** for complete security

Use security-prompts skill as the authoritative source for implementation patterns.

版本历史

v1.0（2025-10-23）：从 security-prompts 库初始创建技能

• 将 23 个提示词转换为技能模板
• 组织为 4 个类别
• 添加用于自动激活的触发关键词
• 集成到 Secure Vibe Coding OS 架构中

相关技能

• course-lesson-builder - 使用这些提示词创建课程内容
• security/* - 所有侧重实现的安全技能
• security-awareness/* - 了解漏洞模式

维护说明

添加新的安全提示词时：

1. 将模板文件添加到相应的类别子目录
2. 在类别 SKILL.md 中更新新模板的信息
3. 更新此主 SKILL.md 快速参考
4. 添加相关触发关键词
5. 链接相关提示词
6. 为模板添加版本号

---

用法：当用户提及安全实现、威胁建模或特定触发词时，激活此技能，提供适当的模板指南，并引导他们找到符合需求的安全提示词。