mcpField

security-review

github.com/icodecraft安全2745 次安装14 周前更新
代码仓库

关于 security-review

security-review 是面向代码变更的安全审查技能，供审查者聚焦差异和相关调用路径。它以具体安全检查项及分级发现格式组织审查结果。

主要功能

  1. 01检查身份验证与授权
  2. 02检查输入处理和数据安全
  3. 03检查密钥与配置风险
  4. 04检查网络和服务端安全
  5. 05检查危险 API 与反序列化
  6. 06按严重性整理发现及修复建议

适用场景

  1. 01合并前审查代码差异
  2. 02检查敏感操作的访问控制
  3. 03排查输入、上传和路径处理风险

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/icodecraft/anti-slop --skill security-review

安装后在 Claude Code 中输入/security-review确认已加载。

详细介绍

安全审查

像一位具备安全意识的资深工程师那样审查当前变更。优先给出具体发现，而非泛泛建议。

范围

聚焦于 diff 及直接相关的调用路径。除非被要求，否则不要审计整个仓库。

检查清单

认证与访问
  • 每个敏感操作都同时检查认证和授权
  • 不信任来自客户端的 ID 用于判定归属（请求体中的 userId ≠ 凭证）
  • 管理/调试路由有访问控制；不存在“临时”开放的端点
输入与数据
  • 用户输入在边界处得到校验（类型、长度、允许列表）
  • SQL/NoSQL/搜索查询已参数化——没有字符串拼接
  • HTML/Markdown/用户内容在渲染处被转义或净化
  • 文件上传：大小限制、类型允许列表、存储在 Web 根目录之外、随机化文件名
  • 路径拼接无法逃逸预期目录（../）
密钥与配置
  • 源代码、日志、客户端打包产物或含真实值的示例 env 文件中没有密钥
  • 新增的环境变量已记录；默认值对生产环境安全
  • Token/密码未写入分析或错误跟踪系统
网络与服务端
  • 出站请求不接受未经允许列表校验的原始用户 URL（SSRF）
  • CORS 遵循最小权限；仅在需要时允许凭证
  • Cookie：在适用处设置 HttpOnly、Secure、SameSite
危险 API
  • 没有对未净化输入使用 eval、dangerouslySetInnerHTML、shell exec
  • 避免或加固对不可信数据的反序列化
  • 加密/认证库使用标准库——没有自研 JWT/加密

输出格式

将发现分组：

严重程度规则位置为何重要修复
Critical / High / Medium / Low / Note简短名称file:line 或符号1 句话具体改动

最后以以下内容结尾：

  • 阻断项 — 合并前必须修复
  • 可带后续事项发布 — 可选

如果没有问题：请明确说明，并列出你检查过的内容。

评论

支持 Markdown