security-watch

用途：在撰写安全敏感代码时，提前捕获并阻止明文密钥、eval()、innerHTML 等危险模式被写入。主要能力：标记或阻止包含机密（API 密钥、密码、令牌、私钥）、危险函数（eval()、Function()、innerHTML、dangerouslySetInnerHTML）、注入向量（SQL/shell 命令中的未净化模板字面量）以及不安全配置（http:// URL、禁用 TLS 校验、* CORS 源）的写入。激活方式：使用 /security-watch。钩子配置在 PreToolUse 中匹配 Write|Edit，执行 .claude/skills/security-watch/scripts/scan-security.sh。限制：测试夹具中故意的 eval() 等会误报，可用 // security-watch:ignore 注释忽略；Base64 编码的密钥无法捕获，仅扫描明文模式；模板字面量注入检测对安全字符串插值可能误报，需人工复核警告；该工具是安全防线的第一层，不能替代正式的安全审查。