SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场application-security

application-security

安全与审计

查看项目

更新于 10-15 14:55

技能介绍

用途

Application Security 是一个应用安全技能，用于在软件设计、开发与发布过程中系统性地考虑安全影响。其核心理念是“安全是内建的，而不是事后附加的”：每个功能、端点和数据流都应评估安全含义。

主要能力

OWASP Top 10（2025）预防要点

技能列出十类风险及对应预防措施：

  1. 失效的访问控制：服务端校验权限，默认拒绝。
  2. 安全配置错误：安全默认值，移除未使用功能。
  3. 软件供应链失效：SBOM、依赖扫描、签名构建。
  4. 加密失效：使用 TLS，密码哈希（argon2id），加密 PII。
  5. 注入：参数化查询，输入校验。
  6. 不安全设计：威胁建模，安全需求。
  7. 认证失效：强密码、MFA、安全会话管理。
  8. 软件或数据完整性：校验依赖，签名发布。
  9. 日志与告警失效：记录安全事件，设置告警。
  10. 异常条件处理不当：安全失败，向客户端返回通用错误。

安全原则

  • 纵深防御：防火墙、认证、授权、加密、审计多层防护。
  • 最小权限：仅授予所需的最小权限。
  • 零信任：永不信任，始终验证，假设已被入侵。
  • 默认安全：开箱即用 HTTPS、严格密码策略、安全 Cookie。
  • 安全失败：出错时拒绝访问，不向用户暴露内部细节。
  • 服务端校验：客户端校验用于体验，服务端校验才是安全。

部署前检查清单

涵盖密码（argon2id 优先，或 bcrypt 12+ 轮）、令牌（JWT 使用 EdDSA/ES256，15 分钟访问 / 7 天刷新，httpOnly Cookie）、会话（HttpOnly、Secure、SameSite=Strict）、限流（认证端点 5 次/15 分钟）、授权（所有路由服务端校验，默认拒绝）、输入（Zod 模式校验，参数化 SQL）、上传（白名单类型，限制大小）、密钥（代码与版本控制中无密钥）、响应头（CSP 带 nonce、HSTS、Permissions-Policy、X-Content-Type-Options）、CORS（限制性配置）、加密（PII 静态 AES-256、传输 TLS 1.3）、日志（安全事件审计日志）、依赖（生成 SBOM、npm audit 干净、启用 Dependabot）。

威胁建模（STRIDE）

针对六类威胁给出缓解措施：仿冒（认证：MFA、强密码、短过期 JWT）、篡改（完整性：输入校验、HTTPS/TLS、签名令牌）、抵赖（问责：审计日志、数字签名）、信息泄露（机密性：加密、最小权限、密钥管理）、拒绝服务（可用性：限流、输入校验、CDN/DDoS 防护）、权限提升（授权：每请求授权检查、ABAC、权限审计）。

风险等级

关键：需立即处理；高：发布前处理；中：发布后处理；低：监控，可接受风险。

合规概览

  • GDPR：欧盟数据主体，同意、数据主体权利、72 小时违规通知、DPIA。
  • HIPAA：美国医疗数据，PHI 加密、RBAC、审计日志、与供应商签订 BAA。
  • SOC 2：SaaS 客户数据，安全策略、MFA、加密、事件响应。
  • PCI-DSS：信用卡数据，使用支付处理商（Stripe）、令牌化、网络分段。

反模式与常见错误

反模式包括：安全事后考虑、客户端授权、信任客户端数据（如请求体中的 userId）、自研加密、将合规等同于安全、冗长错误响应。常见错误及正确做法：仅在客户端做授权检查（应始终服务端校验，客户端仅用于体验）；信任请求体中的用户 ID（应从已认证会话或令牌推导身份）；自研密码学（应使用 argon2id、bcrypt 或 libsodium）；将合规认证等同于安全（合规是最低标准，安全需要持续审查）；向客户端返回含堆栈的详细错误（应向客户端显示通用消息，细节仅记录在服务端）。

委派

技能提供委派建议：使用 Explore 智能体扫描代码库中的 OWASP Top 10 漏洞与不安全模式（SQL 注入、XSS、硬编码密钥）；使用 Task 智能体端到端实现认证、授权与安全响应头（JWT、RBAC、CSP、HSTS、限流）；使用 Plan 智能体为新功能设计威胁模型与安全架构（应用 STRIDE 方法并映射信任边界）。对于数据库层安全（RLS 策略、Postgres/Supabase 加固、审计追踪），使用 database-security 技能；对于 AI/LLM 安全（提示注入防御、智能体零信任、MCP 工具加固），使用 secure-ai 技能。

参考主题

技能包含以下参考方向：威胁建模（STRIDE 方法、风险评估流程、信任边界）；认证与授权（JWT、基于会话、OAuth、RBAC、ABAC、IDOR 防护）；API 安全（OWASP API Security Top 10、对象级授权、限流、SSRF 防护、安全测试）；输入校验（SQL 注入、XSS、命令注入、路径遍历、Zod 校验、文件上传安全）；数据保护（密码哈希 argon2id/bcrypt、AES-256-GCM 加密、密钥管理）；安全配置（安全响应头、CORS、Express 加固、限流）；供应链安全（SBOM 生成、依赖扫描、CI/CD 加固、制品签名）；监控与合规（审计日志、错误处理、GDPR/HIPAA/SOC2/PCI-DSS、故障排查）。

使用方式

该技能以知识条目与检查清单形式提供，可在设计评审、编码审查、发布前检查、威胁建模和合规评估等环节作为参考。具体安装命令与调用方式暂未提供。

适用场景

适用于 Web 应用与 API 的安全设计、代码审查、部署前安全核查、威胁建模、合规准备，以及需要将安全要求融入开发流程的团队。

限制

资料未提供具体工具集成、自动化执行方式、价格或平台支持信息；部分内容为原则性指导，实际落地需结合具体技术栈。