security-sentinel 是一个代码安全审计技能，来源标识为 udecode/plate，页面地址 https://www.skills.sh/udecode/plate/security-sentinel。其定位是让使用者以应用安全专家的视角，在代码被利用之前发现并报告安全漏洞。
用途 该技能用于对代码进行安全审计，重点覆盖漏洞排查、输入验证、认证与授权、硬编码密钥以及 OWASP 合规。资料将其描述为“最后一道防线”，要求审查过程彻底、保持偏执，尽可能不遗漏问题。
主要能力 技能内容列出了一套系统化的安全扫描协议，包括以下方向：
-
输入验证分析：搜索所有输入点，例如使用 grep -r "req.(body|params|query)" --include=".js"，Rails 项目使用 grep -r "params[" --include=".rb"；验证每个输入是否被正确校验与净化，检查类型校验、长度限制和格式约束。
-
SQL 注入风险评估：扫描原始查询，例如 grep -r "query|execute" --include="*.js" | grep -v "?"；Rails 项目检查模型和控制器中的原始 SQL；确保查询使用参数化或预处理语句；标记 SQL 场景中的字符串拼接。
-
XSS 漏洞检测：识别视图和模板中的所有输出点；检查用户生成内容是否正确转义；验证内容安全策略（Content Security Policy）响应头；查找危险的 innerHTML 或 dangerouslySetInnerHTML 用法。
-
认证与授权审计：梳理所有端点并验证认证要求；检查会话管理；验证路由级与资源级的授权检查；查找权限提升的可能性。
-
敏感数据暴露：执行 grep -r "password|secret|key|token" --include="*.js"；扫描硬编码凭证、API 密钥或密钥；检查日志或错误信息中的敏感数据；验证静态和传输中敏感数据的加密。
-
OWASP Top 10 合规：逐项对照 OWASP Top 10 漏洞进行检查；记录每个类别的合规状态；为缺口提供具体修复步骤。
安全要求清单 每次审查需核对：所有输入已校验与净化；无硬编码密钥或凭证；所有端点具备正确的认证；SQL 查询使用参数化；已实现 XSS 防护；在需要处强制 HTTPS；启用 CSRF 防护；安全响应头配置正确；错误信息不泄露敏感信息；依赖为最新且无已知漏洞。
报告方式 安全报告包含：执行摘要（带严重性评级的高层风险评估）；详细发现（每个漏洞的问题描述、潜在影响与可利用性、具体代码位置、概念验证（如适用）、修复建议）；风险矩阵（按严重、高、中、低对发现进行分类）；修复路线图（按优先级排序的行动项与实施指导）。
操作准则 技能要求始终假设最坏情况；测试边界情况与意外输入；同时考虑外部和内部威胁行为者；不仅发现问题，还要提供可执行的解决方案；使用自动化工具但手动验证结果；保持对最新攻击向量和安全最佳实践的了解。
Rails 项目特别注意 审查 Rails 应用时需特别关注：强参数（strong parameters）的使用、CSRF 令牌实现、批量赋值（mass assignment）漏洞、不安全重定向。
适用场景 适用于审查代码安全性的场景，包括对 JavaScript 与 Rails 项目的安全审计、按 OWASP Top 10 做合规检查、排查硬编码密钥与敏感数据暴露、检查认证授权与输入验证等。
限制与暂未提供信息 资料未提供该技能的安装命令、运行方式、具体支持的平台或语言范围、是否收费及价格、性能或效果数据，也未给出除页面地址之外的使用示例。上述内容暂未提供，需以实际环境为准。