mcpField
S
security-review

security-review

github.com/cosai-oasis安全35738 次安装2 周前更新
代码仓库

关于 security-review

此 Skill 用于开展全仓库安全审查，并生成包含优先级发现项和修复建议的 Markdown 报告。它要求加载 Project CodeGuard 核心规则及适用于仓库技术栈的 OWASP 规则。

主要功能

  1. 01加载 Project CodeGuard 核心安全规则
  2. 02按检测到的技术栈选取 OWASP 规则
  3. 03检查所列安全风险类别
  4. 04生成带优先级的发现项和修复建议
  5. 05保存结构化 Markdown 报告

适用场景

  1. 01审查仓库中的安全漏洞
  2. 02确定发现项优先级并规划修复
  3. 03记录审查文件、应用规则和方法

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/cosai-oasis/project-codeguard --skill security-review

安装后在 Claude Code 中输入/security-review确认已加载。

附带文件Security_Code_Reviewer_Guidelines.md

详细介绍

安全审查

适用场景

  • 用于对完整代码库进行安全审查，提供按优先级排列的问题、修复指导和正式报告。

输入

  • 目标代码库路径（调用后的第一个参数）。
    • 示例：$security-review /path/to/repo
  • 安全知识库来源：
    • 规则来源于 Project CodeGuard，这是由 CoSAI/OASIS 提供的开源、与模型无关的安全框架。

如果缺少代码库路径或路径不明确，请先向用户询问，再继续操作。

工作流

  1. 加载安全知识库

    • 首先阅读此技能附带的 Security_Code_Reviewer_Guidelines.md 文件。根据其用途和规则加载策略来指导审查。

    • 加载 Project CodeGuard 中所有核心安全规则：

      https://github.com/cosai-oasis/project-codeguard/tree/main/sources/rules/core

      这些是强制性的基础规则，每次审查都必须加载。

    • 根据检测到的技术栈，从以下位置加载相关 OWASP 规则：

      https://github.com/cosai-oasis/project-codeguard/tree/main/sources/rules/owasp

      只加载与目标代码库技术栈匹配的 OWASP 规则。

  2. 深入分析代码

    • 逐行审查代码库。
    • 重点关注：注入漏洞、身份验证/授权、硬编码机密、加密误用、SSRF、路径遍历、RCE 向量、XSS/CSRF、不安全的反序列化、不安全的默认设置/配置以及供应链问题。

  3. 以 Markdown 格式生成报告。

报告要求

  • 执行摘要
    • 按严重程度统计问题总数（严重/高/中/低/信息）
    • 最关键的 5 个问题
    • 整体安全态势
  • 详细问题（每个问题均需包含）
    • 标题、严重程度、规则引用、位置、代码片段
    • 描述、影响、修复建议（附示例）、参考资料
  • 按类别列出问题
  • 建议
    • 立即采取的措施、短期计划（1-3 个月）、长期改进、工具/流程建议
  • 附录
    • 已审查文件、已应用规则/覆盖范围、方法说明

输出

  • 将报告保存到：
    • ./security_report/sec_review_<repo-name>_<YYYY-MM-DD_HH-mm-ss>.md
    • <repo-name> 使用目标代码库的文件夹名称，并将空格替换为 -。
    • 写入当前工作目录下的 security_report 文件夹。

评论

支持 Markdown