mcpField
S
security-review

security-review

github.com/dralgorhythm安全12998 次安装14 周前更新
代码仓库

关于 security-review

security-review 是一项基于检查清单的应用安全审查技能，涵盖常见安全领域和需标记的代码模式，并提供结构化报告格式。

主要功能

  1. 01检查身份验证与授权
  2. 02审查输入验证和输出编码
  3. 03评估加密与错误处理
  4. 04检查日志记录实践
  5. 05标记 SQL 注入、XSS 和硬编码密钥
  6. 06按报告格式整理发现

适用场景

  1. 01审查身份验证和访问控制
  2. 02检查代码中的常见漏洞模式
  3. 03评估错误处理和敏感日志
  4. 04按严重程度记录发现

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/dralgorhythm/claude-agentic-framework --skill security-review

安装后在 Claude Code 中输入/security-review确认已加载。

详细介绍

安全审查

审查清单

身份验证
  • 强密码要求已落实
  • 敏感操作已实施 MFA
  • 会话令牌具备密码学安全性
  • 会话超时时间设置合理
  • 注销时会正确使会话失效
授权
  • 在服务端检查访问控制
  • 遵循最小权限原则
  • 正确实施基于角色的访问控制
  • 验证直接对象引用
输入验证
  • 在服务端验证所有输入
  • 检查输入类型和长度
  • 正确处理特殊字符
  • 验证并限制文件上传
输出编码
  • 正确编码 HTML 输出
  • JSON 响应使用正确的内容类型
  • 错误消息不会泄露信息
密码学
  • 使用强算法（AES-256、RSA-2048+）
  • 不使用自定义加密实现
  • 妥善管理密钥
  • 强制使用 TLS 1.2+
错误处理
  • 妥善处理异常
  • 错误消息不会暴露内部信息
  • 记录失败的操作
日志记录
  • 记录安全事件
  • 不记录敏感数据
  • 保护日志，防止篡改

需要标记的代码模式

SQL 注入
// DANGER
db.query(`SELECT * FROM users WHERE id = ${id}`);
XSS
// DANGER
element.innerHTML = userInput;
硬编码密钥
// DANGER
const API_KEY = "sk-abc123...";
不安全的随机数
// DANGER
Math.random(); // For security purposes

安全审查报告

## Security Review: [Component]

### Summary
- Critical: [X]
- High: [X]
- Medium: [X]
- Low: [X]

### Findings

#### [CRITICAL] SQL Injection in UserService
**Location**: src/services/user.ts:47
**Description**: User input concatenated into SQL query
**Remediation**: Use parameterized queries
**Code**:
```typescript
// Current (vulnerable)
// Recommended fix

评论

支持 Markdown