Security Audit Skill 是一个面向安全审计的通用指南，旨在帮助开发与审查过程中系统性地发现并处理常见漏洞。
用途 该技能用于在开发与代码审查阶段执行安全审计，提供一套结构化的检查框架，确保常见漏洞被识别和修复。
主要能力 审计清单覆盖以下方面：
- OWASP Top 10 与常见漏洞
- 注入：检查 SQL、命令或 NoSQL 注入点，确保使用参数化查询或适当的转义。
- 访问控制失效：验证用户无法访问其权限范围之外的资源。
- 不安全设计：评估整体架构是否存在安全缺陷。
- 加密失败：确保敏感数据（密码、PII）在静态存储和传输过程中使用现代算法加密（如 AES-256、TLS 1.3）。
- 依赖管理
- 漏洞扫描：检查第三方库中的已知漏洞（例如使用 npm audit、pip-audit 或 snyk）。
- 过时包：识别并更新明显过时的依赖项。
- 认证与授权
- 凭据管理：确保密码从不以明文存储（使用 Argon2、bcrypt 或 scrypt）。
- 会话管理：验证安全的会话处理（Cookie 的 HttpOnly、Secure、SameSite 标志）。
- MFA/2FA：在适当场景检查多因素认证的实现或要求。
- 输入验证与数据处理
- 净化：在信任边界处验证并净化所有用户提供的数据。
- 编码：确保使用输出编码以防止跨站脚本（XSS）。
- 密钥管理：确认 API 密钥、机密和凭据未被提交到代码仓库（使用环境变量或密钥管理器）。
使用方式 当被要求“审计”或“执行安全审查”时：
- 系统性地逐项检查上述每个类别。
- 对每个发现按严重程度分类（Critical、High、Medium、Low）。
- 为每个识别出的问题提供明确的修复步骤。
- 记录已有的任何良好安全实践。
适用场景 适用于开发过程中的安全审查、代码审计、依赖检查、认证授权评估以及输入验证与密钥管理检查。
限制 该技能为审计指南，具体工具、平台、收费、价格等信息暂未提供。