用途
本技能将 OWASP Top 10:2021 的十大风险类别转化为可重复、结构化的审查流程，适用于 AI 辅助的代码分析。当审查 Web 应用源代码、审计服务器或框架配置（如 Express、Django、Rails、Spring Boot、ASP.NET），或用户请求“安全审查”“渗透测试准备”“OWASP 检查”时调用。也适用于评估涉及认证、授权、输入处理、加密或外部集成的拉取请求，以及在实现前评估新 Web 项目的架构安全设计。不适用于仅移动端、IoT 固件或非 Web API 的审查。
主要能力
审查覆盖 OWASP Top 10:2021 全部十个类别，每个类别包含风险说明、检查要点、CWE 映射、检测模式（Grep）和修复建议：
- A01 访问控制失效：检查缺失或不一致的授权、IDOR、仅客户端强制、CORS 错误配置、缺失 HTTP 方法限制、JWT/会话角色声明未服务端验证、路径遍历、缺失默认拒绝策略。
- A02 加密失败：检查明文存储密码/令牌/密钥/PII、使用 MD5/SHA-1/DES/3DES/RC4/ECB 等废弃算法、硬编码密钥、缺失 TLS 强制、弱密钥派生、非 CSPRNG 随机数、提交到版本控制的密钥。
- A03 注入：检查 SQL 字符串拼接、ORM 原始 SQL、OS 命令执行、LDAP/XPath 注入、模板注入、NoSQL 操作符注入、头部注入。
- A04 不安全设计：检查仅客户端验证的业务逻辑、敏感操作缺失速率限制、无账户锁定、密码重置泄露账户存在性、多步流程可跳过、缺失信任边界、无威胁模型。
- A05 安全配置错误：检查默认凭据、生产环境调试模式、不必要 HTTP 方法、目录列表、默认/示例页面、缺失安全头、公开云存储桶、XXE、详细错误页。
每个发现映射到具体 CWE，按严重程度评级，并配以可操作的修复步骤。
使用方式
若通过参数提供目标，审查聚焦于该目标。流程分两步：
-
范围与清单：使用 Glob 枚举项目结构（源文件、配置文件、依赖清单、基础设施即代码模板），识别技术栈（语言、框架、模板引擎、ORM、认证库、部署目标），编目入口点（路由、控制器、API 端点、中间件链、静态资源服务），记录依赖清单（package.json、requirements.txt、pom.xml、Gemfile.lock、go.sum 等）。
-
逐类别分析：针对十个类别逐一评估，使用 Grep 和 Read 搜索检测模式并记录发现。
精度要求（减少误报）：仅当能识别具体文件路径、行号和易受攻击代码模式时才标记漏洞；确认模式实际可达且可利用，排除死代码、注释代码、测试夹具或已禁用功能；区分“潜在风险”与“确认漏洞”，需阅读至少 10-20 行上下文确认；同一底层漏洞模式只报告一个发现；仅按实际可利用影响报告严重程度，缺乏具体可利用代码路径的基础设施观察应省略或降级为信息性。
适用场景
- 审查 Web 应用源代码中的安全漏洞。
- 审计服务器或框架配置。
- 用户请求安全审查、渗透测试准备或 OWASP 检查。
- 评估涉及认证、授权、输入处理、加密或外部集成的拉取请求。
- 在实现前评估新 Web 项目的架构安全设计原则。
限制
不适用于仅移动端、IoT 固件或非 Web API 的审查，此类应使用领域特定技能。资料中未提供关于收费、价格、平台支持或具体效果的信息。