技能 fix-review
🔍
fix-review
安全
验证修复提交是否解决审计发现
安全修复需要仔细验证以确保解决问题而不引入新的缺陷。本技能审查针对审计发现的修复提交，以确认正确修复。
支持: Claude Codex Code(CC)
1
下载技能 ZIP
2
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
3
开启并开始使用
测试它
正在使用“fix-review”。 审查提交 abc123 修复用户搜索端点中的 SQL 注入
预期结果:
修复已验证：参数化查询替代字符串连接。为注入尝试添加了测试覆盖。在相邻查询函数中未发现类似模式。
正在使用“fix-review”。 验证仪表板组件中 XSS 发现的修复
预期结果:
5 个发现中的 3 个已解决。组件 A 和 B 正确转义输出。组件 C、D、E 仍然存在漏洞 - 修复不完整。建议在解决所有实例之前阻止合并。
安全审计
安全v1 • 2/25/2026
All static analysis findings are false positives. The detected URLs are documentation references in markdown, not executable network code. The weak crypto warning on line 3 is incorrect - that line contains only a description string. This skill is documentation-only with no executable code, presenting no security risk.
1
已扫描文件
54
分析行数
0
发现项
1
审计总数
未发现安全问题
审计者: claude
质量评分
38
架构
100
可维护性
87
内容
50
社区
100
安全
83
规范符合性
你能构建什么
安全团队负责人
在合并到主分支之前，审查开发人员提交的修复渗透测试发现的修复
合规官
在合规签署之前，验证外部评估人员的审计发现是否已得到妥善解决
开发团队
在提交给安全团队审批之前自行审查修复提交，以减少迭代周期
试试这些提示
基本修复验证
审查提交 {commit_hash} 并验证它是否解决审计发现 {finding_id}。检查修复是否解决根本原因且不会引入新问题。完整修复审查
分析为处理安全审计报告 {report_id} 而在分支 {branch_name} 中的所有提交。对于每个发现，验证修复是否完整、存在测试覆盖，且代码库中不存在类似漏洞。回归检查
将 {diff_or_commit} 中的代码更改与原始漏洞描述进行对比。识别修复可能引入的任何潜在回归、副作用或新的攻击向量。基于模式的审查
审计在以下位置发现了 {vulnerability_type} 漏洞：{locations}。审查提交 {commit_hash} 并识别代码库中其他位置是否存在相同但被遗漏的模式。最佳实践
- 始终将修复与原始审计发现描述进行对比，以确保完全解决
- 验证测试用例是否明确覆盖已修复的攻击场景
- 在代码库中搜索可能需要相同修复的类似模式
避免
- 接受仅解决症状而非根本原因的修复
- 合并不完整的修复，在其他位置留下类似漏洞
- 在应用安全修复后跳过回归测试
常见问题
审查修复时我需要提供什么信息？
提供包含修复的提交哈希或分支，并引用原始审计发现 ID 或描述。访问完整审计报告可提高审查准确性。
此技能能否验证修复是否真正有效？
本技能执行静态分析以验证修复的完整性和正确性。它无法执行测试，但可以验证是否为已修复场景添加了测试覆盖。
我如何知道修复是否会引入新的漏洞？
审查会分析代码更改以查找常见回归模式，检查适当的输入验证，并识别修复方法可能产生的潜在副作用。
如果修复仅部分解决某个发现会怎样？
审查将标记不完整的修复并识别哪些方面仍未解决。在解决所有方面之前，不应合并不完整的修复。
此技能能否发现代码库其他位置的类似漏洞？
是的，审查包括模式匹配以识别原始审计可能遗漏的其他文件中的类似漏洞模式。
此技能是否适用于合规性文档？
是的，审查会产生修复验证的书面证据，可纳入合规性文档和审计跟踪中以满足监管要求。