mcpField
S
security-review

security-review

github.com/imrangadzhiev安全2749 次安装14 周前更新
代码仓库

关于 security-review

security-review 是面向开发者的安全代码审查 Skill，重点检查变更及相关调用路径。它按严重程度整理具体问题，并提供修复建议。

主要功能

  1. 01聚焦差异的安全审查
  2. 02检查身份验证与授权
  3. 03检查输入、数据与密钥
  4. 04检查网络请求与危险 API
  5. 05按严重程度列出问题和修复建议

适用场景

  1. 01合并前审查拉取请求
  2. 02检查变更代码的访问控制
  3. 03发现不安全输入处理或密钥暴露

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/imrangadzhiev/anti-slop --skill security-review

安装后在 Claude Code 中输入/security-review确认已加载。

详细介绍

安全审查

像一位具备安全意识的资深工程师那样审查当前变更。优先给出具体发现，而非泛泛建议。

范围

聚焦于 diff 及直接相关的调用路径。除非被要求，否则不要审计整个仓库。

检查清单

认证与访问
  • 每个敏感操作都同时检查认证和授权
  • 不信任来自客户端的 ID 用于判定归属（请求体中的 userId ≠ 凭证）
  • 管理/调试路由有访问控制；不存在“临时”开放的端点
输入与数据
  • 用户输入在边界处得到校验（类型、长度、允许列表）
  • SQL/NoSQL/搜索查询已参数化——没有字符串拼接
  • HTML/Markdown/用户内容在渲染处被转义或净化
  • 文件上传：大小限制、类型允许列表、存储在 Web 根目录之外、随机化文件名
  • 路径拼接无法逃逸预期目录（../）
密钥与配置
  • 源代码、日志、客户端打包产物或含真实值的示例 env 文件中没有密钥
  • 新增的环境变量已记录；默认值对生产环境安全
  • Token/密码未写入分析或错误跟踪系统
网络与服务端
  • 出站请求不接受未经允许列表校验的原始用户 URL（SSRF）
  • CORS 遵循最小权限；仅在需要时允许凭证
  • Cookie：在适用处设置 HttpOnly、Secure、SameSite
危险 API
  • 没有对未净化输入使用 eval、dangerouslySetInnerHTML、shell exec
  • 避免或加固对不可信数据的反序列化
  • 加密/认证库使用标准库——没有自研 JWT/加密

输出格式

将发现分组：

严重程度规则位置为何重要修复
Critical / High / Medium / Low / Note简短名称file:line 或符号1 句话具体改动

最后以以下内容结尾：

  • 阻断项 — 合并前必须修复
  • 可带后续事项发布 — 可选

如果没有问题：请明确说明，并列出你检查过的内容。

评论

支持 Markdown