用途
该技能用于对 JavaScript/TypeScript 应用进行系统化的安全审计与漏洞检测，遵循 OWASP Top 10 标准。它旨在帮助开发者在代码审查或功能开发过程中发现并修复安全漏洞，确保生产级代码的安全性。技能与具体框架无关，提供的安全原则可应用于 Express、Fastify、Nest.js、Next.js 等常见框架，并适配 npm、yarn、pnpm、bun 等包管理器。
主要能力
技能覆盖多种安全漏洞类型，包括：
- 硬编码密钥（API 密钥、密码、令牌）
- 输入验证缺失（用户数据、文件上传、API 响应）
- 注入漏洞（SQL、NoSQL、命令、XSS）
- 访问控制缺陷（缺少认证、无所有权检查、IDOR）
- 认证不安全（令牌存储在 localStorage、弱会话管理）
- 速率限制缺失（认证端点、昂贵操作）
- 敏感数据暴露（日志、错误消息、客户端响应）
- 安全配置错误（默认配置、缺少安全头、宽松 CORS）
- 依赖漏洞（过时包、已知 CVE）
- CSRF 保护缺失（状态变更操作）
- SSRF 漏洞（未验证的 URL 获取）
技能还提供安全反模式清单，强调“绝不”事项，如绝不硬编码密钥、绝不信任用户输入、绝不拼接用户输入到查询、绝不在 localStorage 存储敏感数据、绝不跳过授权检查、绝不向用户暴露详细错误、绝不使用 Array.includes() 进行权限检查、绝不跳过 API 速率限制、绝不记录敏感数据、绝不在生产环境使用默认配置。
使用方式
技能支持两种操作模式：
- 审计模式：直接调用技能（/accelint-security-best-practices <path>）或用户明确请求安全审计时，生成结构化审计报告（仅阶段 1-2），供用户审查后再决定实施哪些修复。
- 实施模式：在功能开发过程中自动触发，直接识别并应用安全修复（全部 4 个阶段），无需正式报告，专注于内联修复漏洞。
技能采用渐进式披露以最小化上下文使用：
- 从工作流（SKILL.md）开始，遵循 4 阶段审计工作流。
- 参考安全规则概览（AGENTS.md），加载按类别组织的压缩安全规则摘要。
- 根据需要加载特定安全模式参考文件，获取详细的 ❌/✅ 示例。
- 使用报告模板（assets/output-report-template.md）生成标准化报告。
安全审计工作流分为四个阶段：
- 阶段 1：发现：通过系统化静态代码分析识别所有安全反模式，输出所有漏洞列表及其位置、严重性和 OWASP 类别。
- 阶段 2：分类与评估风险：将每个漏洞按 OWASP Top 10 类别和严重性（严重、高、中、低）分类，输出分类列表。
- 阶段 3：修复：根据漏洞类别加载强制参考文件，应用安全模式进行修复，确保纵深防御。
- 阶段 4：验证：验证漏洞是否完全解决，运行测试套件，添加安全测试，记录修复。
技能还提供常见实施陷阱的解决方案，以及当安全与功能冲突时的优先级顺序和文档要求。
适用场景
- 对 JavaScript/TypeScript 代码库进行安全审计。
- 在开发过程中嵌入安全最佳实践，自动修复漏洞。
- 需要遵循 OWASP Top 10 的合规性检查。
- 团队希望系统化地提升代码安全性。
限制
- 仅针对 JavaScript/TypeScript 应用，不涉及其他编程语言。
- 具体框架适配需用户根据项目调整，技能提供的是通用原则。
- 未提供收费、价格或平台相关信息。
- 技能不替代专业渗透测试，对于关键漏洞建议考虑渗透测试。
- 安全修复可能影响现有功能，需谨慎处理冲突。