📦

security-audit

Name: security-audit
Author: Consiliency

Ревизия содержимого r1 Средний риск 🌐 Доступ к сети⚙️ Внешние команды🔑 Переменные окружения

Аудит кода на типичные уязвимости безопасности

Ошибки безопасности могут появляться в коде для работы с базами данных, shell, файлами и обработкой ошибок. Этот навык помогает Claude, Codex и Claude Code проводить сфокусированные проверки и давать понятные рекомендации по исправлению.

Поддерживает: Claude Codex Code(CC)

⚠️ 50 Плохо

Maintain this Skill? Claim it ⚠️ 50 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "security-audit" from https://skillstore.io/skills/consiliency-security-audit.md and its manifest at https://skillstore.io/api/skills/consiliency-security-audit/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/consiliency-security-audit.md Подписанный manifest GET /api/skills/consiliency-security-audit/manifest Подписанный lockfile GET /api/skills/consiliency-security-audit/lockfile

Протестировать

Использование «security-audit». Проверь pull request, который добавляет поиск пользователей и функции экспорта.

Ожидаемый результат:

High: Поиск пользователей строит запрос из данных запроса без параметризации.
Medium: Путь экспорта использует имя файла, предоставленное пользователем, без проверок ограничения пути.
Recommendation: Используйте параметризованные запросы и разрешайте пути относительно разрешенной директории.

Использование «security-audit». Проведи аудит сервиса, который запускает инструменты командной строки на основе API-ввода.

Ожидаемый результат:

Critical: Пользовательский ввод попадает в построение shell-команды без валидации.
Recommendation: Избегайте режима shell, передавайте фиксированные аргументы списком и проверяйте допустимые значения.

Использование «security-audit». Проверь обработку исключений в задаче загрузки данных.

Ожидаемый результат:

Medium: Широкая обработка исключений скрывает ошибки парсинга и сетевые сбои.
Recommendation: Перехватывайте конкретные ошибки, логируйте полезный контекст и повторно выбрасывайте неожиданные сбои.

Аудит безопасности

Средний риск

v9 • 13.07.2026 Открыть версионный отчет

Most static findings are false positives caused by educational Markdown, detection regular expressions, and intentionally vulnerable examples. The audit confirms a predictable API key fallback and finds missing shell-injection guidance plus active testing instructions without authorization controls.

Просканировано файлов

913

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (2)

Средний

SKILL.md:55-57

Missing Shell-Injection Cookbook

The workflow requires a shell-injection cookbook that is absent from the package. Reviews following this branch cannot load the promised detailed guidance.

SKILL.md explicitly references the relative cookbook, while the audited package contains only the SQL injection and bare-except cookbooks.

Средний

cookbook/sql-injection.md:266-291

Active SQL Testing Lacks Authorization Controls

The automated testing guidance recommends database enumeration with sqlmap but does not require target authorization, scope confirmation, or user approval before execution.

The active sqlmap command and database-enumeration option are explicit. Its localhost example limits the default reach, but the guidance lacks a safety boundary.

Пункты проверки возможностей (1)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

SKILL.md:176

Generic API/secret keys

API_KEY = os.getenv("API_KEY", "dev-key-only")

The sample is presented as good practice but silently assigns a predictable API key when configuration is absent. No runtime guard limits this fallback to development.

Факторы риска

🌐 Доступ к сети (6)

cookbook/bare-except.md:179 cookbook/bare-except.md:187 cookbook/bare-except.md:190 cookbook/bare-except.md:193 cookbook/bare-except.md:196 cookbook/sql-injection.md:291

⚙️ Внешние команды (50)

cookbook/sql-injection.md:82-83 cookbook/sql-injection.md:83-92 cookbook/sql-injection.md:92-93 cookbook/sql-injection.md:101-111 SKILL.md:246 SKILL.md:119 SKILL.md:125 SKILL.md:130 SKILL.md:116 SKILL.md:38 SKILL.md:49 SKILL.md:53 SKILL.md:57 SKILL.md:64-70 SKILL.md:70-73 SKILL.md:73-82 SKILL.md:82-87 SKILL.md:87-97 SKILL.md:97-100 SKILL.md:100-109 SKILL.md:109-114 SKILL.md:114-120 SKILL.md:120-123 SKILL.md:123-131 SKILL.md:131-136 SKILL.md:136-141 SKILL.md:141-144 SKILL.md:144-156 SKILL.md:156-161 SKILL.md:161-165 SKILL.md:165-168 SKILL.md:168-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-188 SKILL.md:188-194 SKILL.md:194-209 SKILL.md:209-231 SKILL.md:231-235 SKILL.md:235-238 SKILL.md:246-250 SKILL.md:250-256 SKILL.md:256-264 SKILL.md:264-268 SKILL.md:268-273 SKILL.md:273-277 SKILL.md:277-289 SKILL.md:289-291 SKILL.md:291-294 SKILL.md:294-296

🔑 Переменные окружения (10)

SKILL.md:172 SKILL.md:173 SKILL.md:176 SKILL.md:176 SKILL.md:164 SKILL.md:173 SKILL.md:163 SKILL.md:172 SKILL.md:176 SKILL.md:227

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/consiliency-security-audit/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/consiliency-security-audit/security.svg)](https://skillstore.io/skills/consiliency-security-audit?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/consiliency-security-audit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/consiliency-security-audit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/consiliency-security-audit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

Consiliency. (2026). security-audit security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/consiliency-security-audit/audits/9

Цитата BibTeX

@techreport{consiliency-consiliency-security-audit-2026,
  author = {Consiliency},
  title = {security-audit security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/consiliency-security-audit/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-audit security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Consiliency"
date-released: "2026-07-13"
url: "https://skillstore.io/skills/consiliency-security-audit/audits/9"
identifiers:
  - type: other
    value: "skillstore:consiliency-security-audit:audit:9"
    description: "Skillstore immutable audit report identifier"

Сравнить варианты

5 устанавливаемых вариантов

Навык каждого автора остаётся отдельным устанавливаемым вариантом. Рекомендуемый вариант ранжируется по данным Skillstore.

Почему этот вариант первый

Самая высокая оценка Skillstore

Автор / источник Оценка Skillstore Достоверность доказательств Использование в Skillstore Обновлено

Joseph OBrien Рекомендуется

89jobrien-security-audit

Оценка Skillstore 79

Достоверность доказательств Высокий

Использование в Skillstore 22

Обновлено

2026-10-18

AppleLamps

applelamps-security-audit

Оценка Skillstore 78

Достоверность доказательств Высокий

Использование в Skillstore 20

Обновлено

2026-10-24

cloudflare

cloudflare-security-audit

Оценка Skillstore 76

Достоверность доказательств Средний

Использование в Skillstore 10

Обновлено

2026-09-22

Consiliency Текущий

consiliency-security-audit

Оценка Skillstore 50

Достоверность доказательств Высокий

Использование в Skillstore 16

Обновлено

2026-09-09

sickn33

sickn33-security-audit

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 20

Обновлено

2026-09-09

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Ревью Pull Request

Аудит запросов к базе данных, shell-вызовов, доступа к файлам и обработки ошибок перед merge.

Стандартизация проверок безопасности

Используйте единые OWASP-ориентированные промпты для ревью в разных командах и репозиториях.

Подготовка планов исправления

Преобразуйте рискованные паттерны в приоритизированные исправления с рекомендациями по более безопасной реализации.

Попробуйте эти промпты

Базовое ревью безопасности

Проверь измененные файлы на распространенные уязвимости безопасности. Сфокусируйся на SQL injection, shell injection, path traversal, XSS, secrets и обработке исключений.

Аудит запросов к базе данных

Проведи аудит построения запросов к базе данных в этом репозитории. Выяви небезопасную интерполяцию, конкатенацию, использование raw query и отсутствие параметризации.

Аудит выполнения команд

Проверь пути выполнения команд. Отметь использование shell, аргументы, управляемые пользователем, слабую валидацию и более безопасные альтернативы для каждой рискованной команды.

Проверка безопасности перед релизом

Выполни аудит безопасности перед релизом. Приоритизируй эксплуатируемые проблемы, укажи затронутые файлы, объясни влияние и дай конкретные шаги исправления.

Лучшие практики

Сначала проверяйте области, чувствительные к безопасности, включая аутентификацию, доступ к базе данных, работу с файлами и выполнение команд.
Считайте каждую находку гипотезой, пока контекст кода не подтвердит возможность эксплуатации.
Сопоставляйте каждую подтвержденную проблему с конкретным более безопасным паттерном и рекомендацией по тестированию.

Избегать

Не сообщайте о совпадениях regex без проверки соседнего кода и намерения.
Не считайте учебные плохие примеры производственными уязвимостями.
Не игнорируйте проблемы низкой серьезности, когда вместе они формируют реальный путь атаки.

Часто задаваемые вопросы

Заменяет ли этот навык сканер безопасности?

Нет. Он направляет ревью человеком и AI и может дополнять сканеры, такие как SAST и инструменты для зависимостей.

Какие классы уязвимостей он покрывает?

Он покрывает SQL injection, shell injection, path traversal, XSS, hardcoded secrets и широкую обработку исключений.

Может ли он проверять любой язык программирования?

Он не привязан к конкретному фреймворку, но самые сильные примеры сфокусированы на Python, TypeScript, SQL и распространенных веб-паттернах.

Запускает ли он команды автоматически?

Нет. Навык предоставляет инструкции и примеры для ревью. Пользователи сами решают, запускать ли какие-либо локальные инструменты.

Как командам использовать результаты?

Используйте находки для приоритизации исправлений, запроса изменений кода и добавления целевых тестов перед релизом.

Может ли он доказать, что код безопасен?

Нет. Он снижает риск пропущенных проблем, но безопасность все равно требует тестирования, моделирования угроз и ревью квалифицированными специалистами.