用途
Frontend Security 是一个前端安全审计技能，用于对前端代码库执行全面的安全审计，识别漏洞、不良实践以及缺失的防护措施。它适用于执行安全审查、审计代码中的 XSS/CSRF/DOM 漏洞等场景。
主要能力
该技能围绕一套审计流程展开：
- 扫描危险模式——在代码库中搜索已知的漏洞指示符。
- 审查框架特定风险——检查框架的安全绕过模式。
- 验证防御措施——核实 CSP、CSRF 令牌、输入校验。
- 检查依赖——审查 npm/node 依赖的漏洞。
- 报告发现——按严重程度分类并给出修复指导。
关键漏洞模式搜索
技能内置了针对多类漏洞的搜索命令，包括：
- XSS 指示符（高优先级）：React 的 dangerouslySetInnerHTML、直接 DOM 操作（innerHTML、outerHTML、document.write）、基于 URL 的注入（location.href、location.replace、window.open）、eval 与代码执行（eval、new Function、setTimeout/setInterval 字符串参数）、Twig 未转义输出（|raw、{% autoescape false %}）。
- CSRF 指示符：缺少 CSRF 令牌的表单、缺少保护的状态变更请求（fetch 的 POST/PUT/DELETE/PATCH、axios 的 post/put/delete/patch）。
- 敏感数据暴露：localStorage/sessionStorage 中的敏感数据、硬编码密钥（api_key、secret、password）。
参考文档
技能根据发现的问题加载对应参考文档，涵盖：XSS 防护、CSRF 防护、DOM 安全、CSP 配置、输入校验、Node.js/NPM 安全、框架特定模式、文件上传安全、JWT 安全。
严重程度分类
- CRITICAL：可利用的 XSS、认证绕过、密钥暴露。
- HIGH：缺失 CSRF 防护、不安全的 DOM 操作、SQL 注入向量。
- MEDIUM：弱 CSP、缺失安全响应头、不当的输入校验。
- LOW：信息泄露、已弃用函数、次优实践。
报告格式
技能按固定格式输出安全审计报告，包含摘要（各严重级别发现数量）、关键发现（含位置 file:line、模式代码片段、风险描述、修复方法、OWASP 参考链接）以及高、中、低级别发现。
使用方式
该技能以审计流程和搜索命令的形式提供，用户可依据其中的 grep 命令在代码库中搜索危险模式，并根据发现的问题查阅对应的参考文档。技能还提供了 OWASP 参考链接，涵盖 XSS 防护、DOM XSS 防护、CSRF 防护、CSP、输入校验、HTML5 安全、DOM Clobbering、Node.js 安全、NPM 安全、AJAX 安全、文件上传、错误处理、JWT 安全、用户隐私、gRPC 安全等主题。
适用场景
- 对前端代码库进行安全审查。
- 审计代码中的 XSS、CSRF、DOM 漏洞。
- 检查框架特定的安全风险。
- 验证 CSP、CSRF 令牌、输入校验等防御措施。
- 审查 npm/node 依赖漏洞。
限制
资料未提供该技能的安装命令、收费方式、支持平台等具体信息，暂未提供。