security-audit

用途

security-audit 用于对代码库执行全面的安全审计，适合在生产部署前或重大功能开发完成后运行。它通过多个 security-auditor 智能体并行工作，帮助发现潜在安全问题并生成结构化报告。

主要能力

该技能并行启动五个 security-auditor 智能体，各自聚焦不同审计维度：

Agent 1：认证与访问，检查认证、授权、JWT 处理、会话管理、RBAC、权限提升。
Agent 2：输入与数据，检查注入、验证，包括 SQL 注入、XSS、命令注入、输入清理。
Agent 3：加密与密钥，检查密码学、密钥，包括硬编码凭据、弱加密、密钥管理、PII。
Agent 4：配置与部署，检查配置、基础设施，包括 CORS、CSRF、安全响应头、暴露端点、调试模式。
Agent 5：依赖，检查供应链、库，包括存在漏洞的包、过时依赖、许可证问题。

审计覆盖 OWASP Top 10：A01 访问控制失效（Agent 1）、A02 加密失败（Agent 3）、A03 注入（Agent 2）、A04 不安全设计（Agent 1、4）、A05 安全配置错误（Agent 4）、A06 易受攻击组件（Agent 5）、A07 认证失败（Agent 1）、A08 数据完整性失败（Agent 2、3）、A09 日志记录失败（Agent 4）、A10 SSRF（Agent 2）。

使用方式

命令格式：

/security-audit yourbench           # Full security review
/security-audit coordinatr          # Audit specific project

执行流程：

验证项目：ls spaces/[project]/
启动并行审计：五个 security-auditor 智能体以聚焦提示并发运行。
汇总发现：按严重程度（Critical、High、Medium、Low、Info）、类别（OWASP 分类）、位置（文件路径 + 行号）、修复建议（具体修复指导）聚合。
生成报告：写入 .claude/temp/security-audit-[project]-[timestamp].md。

报告结构示例：

# Security Audit: [Project Name]
**Date**: YYYY-MM-DD HH:MM:SS

## Executive Summary
- Critical issues: X
- High severity: Y
- Total findings: Z

## Critical Issues
### [Issue Title]
- **Severity**: Critical
- **Category**: SQL Injection (CWE-89)
- **Location**: src/api/users.py:42
- **Description**: [What's wrong]
- **Impact**: [What could happen]
- **Remediation**: [How to fix]

## High Severity Issues
[...]

## Recommendations
- Priority actions
- Long-term improvements

## Scan Coverage
- Files scanned: X
- Technologies: Z

输出位置示例：.claude/temp/security-audit-yourbench-2026-01-08-143022.md，报告保存在 .claude/temp/（已加入 gitignore）供审阅。

适用场景

生产部署前
重大功能添加后
每月安全审查
外部安全审计前
依赖更新后

限制

只读：不修改代码。
非阻塞：不阻止提交。
并行执行：智能体并发运行。
可能存在误报：建议人工复核。

集成

实现安全功能 → /security-audit → 修复问题 → /commit

技能介绍

用途

主要能力

使用方式

适用场景

限制

集成