Documentation
README
代码安全审计
触发条件
当用户要求安全检查、漏洞扫描、安全审计、依赖安全检查时激活此技能。
工作流程
- 确定审计范围 — 根据用户指定的目录/文件/代码段进行分析
- 静态安全扫描 — 按检查清单逐项排查
- 依赖安全检查 — 检查 package.json / requirements.txt / go.mod 等依赖文件
- 生成审计报告 — 按严重程度分类输出
检查清单
🔴 高危
- 硬编码密钥/密码/API Key
- SQL 注入风险(字符串拼接 SQL)
- 命令注入(未过滤的 shell 命令)
- 路径遍历(未校验的文件路径)
- 反序列化漏洞
- 未校验的 JWT/Token 验证
🟡 中危
- XSS 风险(未转义的用户输入)
- CSRF 保护缺失
- 不安全的随机数生成
- 敏感信息日志泄露
- 过宽的权限设置
- 缺少 Rate Limiting
🟢 低危
- 缺少输入验证
- 依赖版本过旧
- 缺少安全头部(CSP, HSTS, X-Frame-Options)
- 错误信息泄露内部细节
- 缺少 HTTPS 强制
输出格式
This is the opening of the README. Read the full README on GitHub.