技能 security-best-practices
🔒

security-best-practices

安全

Implementar Melhores Práticas de Segurança

Proteger aplicações web de vulnerabilidades comuns como injeção SQL, XSS e ataques CSRF com padrões de segurança comprovados e conformidade com o OWASP Top 10.

支持: Claude Codex Code(CC)
📊 70 充足
1

下载技能 ZIP

2

在 Claude 中上传

前往 设置 → 功能 → 技能 → 上传技能

3

开启并开始使用

测试它

正在使用“security-best-practices”。 Adicionar middleware de segurança ao meu aplicativo Express

预期结果:

Configuração Helmet com cabeçalhos CSP, HSTS e X-Frame-Options; middleware de rate limiting com 100 requisições por 15 minutos; redirecionamento HTTPS para ambiente de produção

正在使用“security-best-practices”。 Validar entrada do usuário para um formulário de registro

预期结果:

Esquema Joi com email (formato válido obrigatório), senha (mínimo 8 caracteres, maiúscula, minúscula, número, caractere especial) e nome (2-50 caracteres)

安全审计

安全
v1 • 3/7/2026

This skill teaches security best practices for web applications. All static analyzer findings are FALSE POSITIVES - the skill demonstrates both vulnerable patterns (to teach what to avoid) and secure patterns (as examples). The eval() reference at line 237 is in the prohibited items section teaching users not to use it. Environment variable access demonstrates proper secret management. No actual security risks present.

2
已扫描文件
304
分析行数
0
发现项
1
审计总数
未发现安全问题

检测到的模式

Static Finding: eval() UsageStatic Finding: Shell Command DetectionStatic Finding: Environment Variable AccessStatic Finding: Hardcoded URLs
审计者: claude

质量评分

38
架构
100
可维护性
87
内容
23
社区
100
安全
91
规范符合性

你能构建什么

Aplicação Web Segura

Configurar middleware de segurança e cabeçalhos ao criar uma nova API Express.js do zero.

Auditoria de Segurança e Remediação

Revisar código existente em busca de vulnerabilidades e aplicar correções seguindo as diretrizes do OWASP.

Preparação para Conformidade

Implementar controles de segurança necessários para GDPR, PCI-DSS ou outros frameworks de conformidade.

试试这些提示

Configuração Básica de Segurança
Adicionar melhores práticas de segurança à minha aplicação Express.js. Incluir Helmet.js para cabeçalhos de segurança, aplicação de HTTPS e rate limiting para os endpoints da API.
Validação de Entrada
Implementar validação de entrada para o endpoint de API de registro de usuário. Usar Joi para validar formato de email, força da senha (mínimo 8 caracteres com maiúscula, minúscula, número e caractere especial) e comprimento do nome.
Proteção CSRF
Adicionar proteção CSRF a todos os endpoints POST, PUT e DELETE na minha API Express. Incluir um middleware que valida tokens CSRF das requisições do cliente.
Autenticação Segura
Implementar autenticação JWT com tokens de acesso (expiração de 15 minutos) e rotação de token de atualização. Armazenar tokens de atualização no banco de dados e rotacionar em cada uso.

最佳实践

  • Sempre use consultas parametrizadas em vez de concatenação de strings para prevenir injeção SQL
  • Armazene segredos em variáveis de nunca codifique credenciais no código-fonte
  • Implemente defesa em profundidade com múltiplas camadas de controles de segurança

避免

  • Usar eval() ou execução dinâmica de código similar com entrada do usuário
  • Inserir entrada do usuário diretamente no HTML sem sanitização (innerHTML)
  • Commitar arquivos .env ou outros arquivos de segredos no controle de versão

常见问题

O que é o OWASP Top 10?
O OWASP Top 10 é uma lista dos riscos de segurança mais críticos de aplicações web, atualizada periodicamente. Inclui vulnerabilidades como injeção, autenticação quebrada, exposição de dados sensíveis e mais.
Como o Helmet.js melhora a segurança?
Helmet.js define vários cabeçalhos HTTP que protegem contra ataques comuns como XSS, clickjacking e MIME type sniffing. Inclui CSP, HSTS, X-Frame-Options e outros cabeçalhos de segurança.
Qual é a diferença entre autenticação e autorização?
Autenticação verifica quem é o usuário (login). Autorização determina o que um usuário pode fazer (permissões). Ambos são essenciais para segurança, mas servem a propósitos diferentes.
Como previno injeção SQL?
Use consultas parametrizadas ou instruções preparadas em vez de concatenar entrada do usuário em strings SQL. Nunca insira entrada do usuário diretamente em consultas de banco de dados.
O que é proteção CSRF e por que preciso dela?
Ataques CSRF (Cross-Site Request Forgery) enganam usuários para submeter requisições maliciosas. Tokens CSRF validam que as requisições se originam da sua aplicação legítima.
Como devo gerenciar segredos em produção?
Use variáveis de ambiente ou serviços de gerenciamento de segredos como AWS Secrets Manager, HashiCorp Vault ou Kubernetes Secrets. Nunca commite segredos no controle de versão.

开发者详情

文件结构

📄 SKILL.md

📄 SKILL.toon