关于 web-security
面向开发者的 Web 安全技能，涵盖不可信输入、身份验证、浏览器边界、数据和依赖项的防护实践。重点是验证输入、限制数据暴露并采用安全默认设置。
主要功能
- 01验证并清理输入
- 02防范 XSS 和注入攻击
- 03保护身份验证与授权
- 04遵循 CORS 和 CSP 边界
- 05减少敏感数据暴露
- 06审查第三方依赖
适用场景
- 01检查 Web 应用的输入处理
- 02选择更安全的凭据存储方式
- 03设置浏览器安全策略
- 04减少日志中的敏感数据
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/web-security确认已加载。
详细介绍
Web 安全
我们将Web 安全视为核心要求，而不是事后补救。 默认假设输入具有恶意性，环境不可信。
核心原则
- 绝不信任用户输入
- 始终在边界处验证并清理数据
- 优先采用安全的默认设置，而非提供可配置性
XSS 与注入
- 避免使用
dangerouslySetInnerHTML和原始 HTML 注入 - 正确转义和编码动态内容
- 绝不将不可信数据插入 HTML、CSS 或 JS 上下文
- 确保防范 SQL 注入
身份验证与授权
- 不要将密钥或令牌存储在不安全的位置
- 尽可能避免将敏感凭据存储在 localStorage 中
- 在适用情况下使用 HTTP-only、安全的 Cookie
- 始终在服务器端强制执行授权
浏览器安全 API
- 遵守 CORS、CSP 和浏览器安全边界
- 使用内容安全策略限制脚本和资源的执行
- 启用 CSP 时避免使用内联脚本和样式
数据处理
- 尽量减少数据暴露
- 不要记录敏感信息
依赖项与供应链
- 避免使用不必要的软件包
- 将第三方代码视为不可信输入
通用原则
- 简洁可以缩小攻击面
- 如果无法确定，请选择限制更严格的选项
评论
支持 Markdown