bitlysis-security-audit

用途：在认证授权实现、API 端点审计、智能合约部署前、OWASP Top 10 漏洞排查、上线前安全评审及依赖漏洞扫描等场景中，执行 Bitlysis 的安全审查并落实安全最佳实践。主要能力与用法：认证授权方面要求服务端使用 getUser() 而非 getSession() 以防 CSRF，用户数据表必须启用行级安全（RLS），禁止在面向客户端的代码中用 service_role 密钥绕过 RLS。输入校验逐项检查请求体（Pydantic 或 Zod）、路径参数类型、文件上传的 MIME 与大小、SQL 注入（仅用 ORM 参数化查询）、XSS（渲染前用 DOMPurify 清理 HTML）。密钥检查包括提交前用 detect-secrets 扫描、用 git log --all --full-history -- "**/.env" 检查历史泄露、.env.example 记录变量、生产密钥放平台密钥管理器并在暴露后轮换。安全响应头涵盖 X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 与 CSP。智能合约部分要求采用 Checks-Effects-Interactions、重入防护与 SafeERC20。依赖审计可用 pnpm audit --audit-level moderate、npx snyk test、pip-audit --requirement requirements.txt、safety check 等命令。输出格式为安全评审报告，按 Critical、High、Medium、Low/Informational 分级。限制：资料主要针对 Bitlysis 及其技术栈，具体适用范围、收费与效果暂未提供。