스킬 security-scanning-security-sast
📦
security-scanning-security-sast
콘텐츠 리비전 r2 높은 위험 ⚡ 스크립트 포함⚙️ 외부 명령어🌐 네트워크 접근📁 파일 시스템 접근🔑 환경 변수
보안 취약점 검사를 위한 코드 스캔
팀은 릴리스 전에 반복 가능한 소스 코드 보안 점검이 필요합니다. 이 스킬은 SAST 도구를 구성하고, 발견 사항을 분류하며, 수정 사항을 보안 코딩 패턴에 매핑하는 데 도움을 줍니다.
지원: Claude Codex Code(CC)
설치 전에 중지하고 확인을 요청하세요.
계획을 검토하고 파일을 변경하기 전에 사용자의 명시적 동의를 받으세요.
내 에이전트로 설치
이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.
에이전트 요청
Review the Skillstore skill "security-scanning-security-sast" from https://skillstore.io/skills/sickn33-security-scanning-security-sast.md and its manifest at https://skillstore.io/api/skills/sickn33-security-scanning-security-sast/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.
에이전트가 읽기 쉬운 리소스
AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.
테스트해 보기
"security-scanning-security-sast" 사용 중입니다. 일반적인 SAST 문제를 찾기 위해 Python Flask 서비스를 리뷰합니다.
예상 결과:
리뷰는 debug mode, 취약한 secret key 처리, 안전하지 않은 파일 접근, 누락된 secure headers를 강조합니다. 우선순위가 지정된 수정 사항과 함께 Bandit 및 Semgrep 점검을 권장합니다.
"security-scanning-security-sast" 사용 중입니다. Pull Request 워크플로에 SAST 스캐닝을 추가합니다.
예상 결과:
계획은 Pull Request에서 경량 스캔을 실행하고, 보고서를 아티팩트로 저장하며, 분류 후 확인된 높은 심각도의 발견 사항만 차단합니다.
"security-scanning-security-sast" 사용 중입니다. 혼합된 Semgrep 및 Bandit 보고서를 분류합니다.
예상 결과:
- 확인된 injection 발견 사항을 먼저 나열합니다.
- 오탐 가능성이 높은 항목은 근거와 함께 분리합니다.
- 각 수정 사항은 담당자와 심각도에 매핑됩니다.
보안 감사
높은 위험v7 • 2026. 8. 26. 버전별 보고서 열기
Most static findings are false positives caused by documentation, detection rules, and secure examples. The ping example permits argument injection, while semantic review found unsafe path containment, suppressed CI failures, swallowed scanner errors, and unpinned tooling.
1
스캔된 파일
502
분석된 줄 수
1
검토 항목
0
오탐 무시됨
확인된 보안 우려 사항 (4)
높음
Unsafe Path Containment Check
The secure path example uses string startswith for containment. A sibling path sharing the allowed prefix can pass this check and permit unintended file access.
The code directly compares canonical path strings by prefix, a known boundary error when paths such as uploads-other share the allowed prefix.
높음
SAST CI Failures Are Suppressed
The CI examples append || true to scanner commands. Findings, crashes, or configuration errors therefore cannot fail the security job.
Both CI examples explicitly convert every nonzero scanner exit into success, defeating enforcement and masking operational failures.
중간
Scanner Errors Produce Incomplete Results
The scanner catches every Semgrep exception, prints it, and continues. Callers can receive a normal summary without knowing that one or more rulesets failed.
The broad exception handler records no failure state and does not rethrow, while the outer workflow always generates a summary.
중간
Unpinned Security Tool Installation
Installation examples fetch current package and action versions without immutable pins. A compromised or incompatible release could affect CI execution and scan integrity.
The examples install Bandit, Semgrep, and ESLint without versions and reference GitHub Actions by mutable major tags rather than commit hashes.
기능 검토 항목 (1)
이 스킬에 대해 예상될 수 있는 실제 로컬 기능이므로 검토가 필요하지만, 확인된 악의적 동작으로는 집계되지 않습니다.
높음
Python subprocess.run
subprocess.run(['ping', '-c', '4', user_input]) # Array args
Array arguments prevent shell metacharacter injection, but unvalidated user_input can begin with a dash and inject ping options. This can alter network behavior or trigger resource-intensive modes.
위험 요인
⚡ 스크립트 포함 (2)
⚙️ 외부 명령어 (50)
SKILL.md:239 SKILL.md:383 SKILL.md:144 SKILL.md:143 SKILL.md:235 SKILL.md:28 SKILL.md:52-57 SKILL.md:57-59 SKILL.md:59-60 SKILL.md:60-64 SKILL.md:64-68 SKILL.md:68-71 SKILL.md:71-73 SKILL.md:73-74 SKILL.md:74-86 SKILL.md:86-90 SKILL.md:90-96 SKILL.md:96-98 SKILL.md:98-99 SKILL.md:99-154 SKILL.md:154-158 SKILL.md:158-159 SKILL.md:159-160 SKILL.md:160-161 SKILL.md:161-170 SKILL.md:170-174 SKILL.md:174-181 SKILL.md:181-191 SKILL.md:191-198 SKILL.md:198-202 SKILL.md:202-209 SKILL.md:209-219 SKILL.md:219-226 SKILL.md:226-231 SKILL.md:231-238 SKILL.md:238-242 SKILL.md:242-249 SKILL.md:249-253 SKILL.md:253-262 SKILL.md:262-277 SKILL.md:277-284 SKILL.md:284-291 SKILL.md:291-298 SKILL.md:298-305 SKILL.md:305-309 SKILL.md:309-423 SKILL.md:423-429 SKILL.md:429-461 SKILL.md:461-465 SKILL.md:465-476
🌐 네트워크 접근 (2)
📁 파일 시스템 접근 (2)
감사자: codex 감사 이력 보기 →
이 보고서 공유 및 인용
버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.
보고서 링크 복사
https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 배지
[](https://skillstore.io/skills/sickn33-security-scanning-security-sast?utm_source=security_passport_badge)HTML 배지
<a href="https://skillstore.io/skills/sickn33-security-scanning-security-sast?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-scanning-security-sast/security.svg" alt="Skillstore security assessment" loading="lazy"></a>임베드 카드
<iframe src="https://skillstore.io/embed/skills/sickn33-security-scanning-security-sast.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>학술 인용 (APA · BibTeX · CFF)
APA 인용
sickn33. (2026). security-scanning-security-sast security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7BibTeX 인용
@techreport{sickn33-sickn33-security-scanning-security-sast-2026,
author = {sickn33},
title = {security-scanning-security-sast security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-scanning-security-sast security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-08-26"
url: "https://skillstore.io/skills/sickn33-security-scanning-security-sast/audits/7"
identifiers:
- type: other
value: "skillstore:sickn33-security-scanning-security-sast:audit:7"
description: "Skillstore immutable audit report identifier"
Skillstore 점수
이 점수의 이유 증거 신뢰도: 중간 55
아키텍처
85
유지보수성
87
콘텐츠
69
커뮤니티
78
사양 준수
만들 수 있는 것
Pull Request 보안 리뷰
변경된 파일에 대해 대상 SAST 점검을 실행하고 병합 전에 악용 가능성이 있는 발견 사항의 우선순위를 지정합니다.
CI 보안 게이트 설정
명확한 보고서 출력과 함께 반복 가능한 Bandit, Semgrep 또는 ESLint Security 스캔을 빌드 파이프라인에 추가합니다.
레거시 코드 기준선
오래된 코드베이스를 평가하고, 발견 사항을 심각도별로 그룹화하며, 점진적인 수정 작업을 계획합니다.
이 프롬프트를 사용해 보세요
기본 SAST 리뷰 실행
Use the SAST skill to review this repository. Identify languages, choose suitable tools, and summarize the highest-risk vulnerability patterns.
스캐너 발견 사항 분류
Use the SAST skill to triage these scanner findings. Group confirmed risks, likely false positives, and fixes by severity.
CI SAST 점검 생성
Use the SAST skill to design a CI security scan for this project. Recommend tools, thresholds, artifacts, and developer feedback steps.
사용자 지정 규칙 설계
Use the SAST skill to draft custom Semgrep rules for our secure coding policy. Explain the target pattern, expected matches, and test cases.
모범 사례
- 개발 초기에 SAST를 실행하고 릴리스 전 CI에서 다시 실행합니다.
- 개발자가 발견 사항을 신뢰할 수 있도록 규칙과 제외 항목을 조정합니다.
- 광범위한 정리 작업 전에 확인된 critical 및 high 발견 사항의 우선순위를 지정합니다.
피하기
- 승인 없이 독점 코드를 외부 서비스에 업로드하지 마세요.
- 분류되지 않은 신뢰도 낮은 발견 사항 때문에 릴리스를 차단하지 마세요.
- 하나의 스캐너를 유일한 보안 리뷰 방법으로 의존하지 마세요.
자주 묻는 질문
이 스킬은 스캐너를 자동으로 실행하나요?
SAST 워크플로에 대한 지침과 명령을 제공합니다. 도구 실행은 사용자 환경과 승인 프로세스에 따라 달라집니다.
어떤 언어를 다루나요?
Python, JavaScript, TypeScript, Java, Ruby, PHP, Go, Rust 및 관련 프레임워크 패턴을 다룹니다.
침투 테스트를 대체할 수 있나요?
아니요. 정적 소스 리뷰에 중점을 두며 더 강한 보증을 위해 런타임 테스트와 함께 사용해야 합니다.
사용자 지정 정책에 도움을 줄 수 있나요?
예. 조직별 보안 점검을 위한 Semgrep 규칙 지침을 포함합니다.
팀은 오탐을 어떻게 처리해야 하나요?
팀은 규칙을 조정하고, 수용된 위험을 문서화하며, 확인된 발견 사항을 노이즈가 많은 결과와 분리해 유지해야 합니다.
컴플라이언스 매핑도 다루나요?
OWASP, PCI-DSS, SOC 2 맥락을 참조하지만, 컴플라이언스 증거는 여전히 사람의 리뷰가 필요합니다.