技能 security-review
📦
security-review
v1.0 内容修订 r1 安全 ⚙️ 外部命令🌐 网络访问🔑 环境变量
发布前审查 Web 应用安全性
当团队添加身份验证、API、支付、上传或敏感数据流时，安全问题往往会出现。此技能提供一份聚焦的检查清单和审查提示，用于在部署前发现常见的 Web 应用风险。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "security-review" from https://skillstore.io/skills/sickn33-security-review.md and its manifest at https://skillstore.io/api/skills/sickn33-security-review/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“security-review”。 新的用户资料端点接受 email、display name 和 avatar upload。
预期结果:
- 高优先级：要求身份验证，并验证用户只能更新自己的资料。
- 中优先级：验证头像上传的文件大小、MIME 类型和扩展名。
- 中优先级：返回通用验证错误，并避免暴露内部存储路径。
正在使用“security-review”。 结账流程存储支付提供商令牌，并将错误详情返回给浏览器。
预期结果:
- 高优先级：确保支付令牌绝不会被记录到日志中，也不会存储在已批准的提供商流程之外。
- 高优先级：将展示给用户的详细支付错误替换为安全的通用消息。
- 中优先级：为重复结账尝试添加速率限制和监控。
正在使用“security-review”。 Supabase 管理功能读取用户记录并更新角色。
预期结果:
- 高优先级：在每次角色更新前验证服务端管理员授权。
- 高优先级：确认行级安全性策略会阻止普通用户读取其他账户。
- 中优先级：添加审计日志，记录操作者、目标用户和操作，但不包含密钥。
安全审计
安全v5 • 2026/7/7 打开版本化报告
Static analysis matched Markdown code fences, illustrative snippets, local fetch tests, and documentation links. I found no executable helper scripts, hidden network behavior, credential collection, prompt injection, or data exfiltration intent in SKILL.md.
1
已扫描文件
496
分析行数
0
复核项
0
已忽略误报
风险因素
⚙️ 外部命令 (49)
SKILL.md:27-30 SKILL.md:30-33 SKILL.md:33-41 SKILL.md:41-46 SKILL.md:46-53 SKILL.md:53-75 SKILL.md:75-78 SKILL.md:78-101 SKILL.md:101-113 SKILL.md:113-115 SKILL.md:115-117 SKILL.md:117-120 SKILL.md:120-132 SKILL.md:132-143 SKILL.md:143-149 SKILL.md:149-150 SKILL.md:150-153 SKILL.md:153-170 SKILL.md:170-173 SKILL.md:173-186 SKILL.md:186-198 SKILL.md:198-209 SKILL.md:209-212 SKILL.md:212-217 SKILL.md:224-227 SKILL.md:227-238 SKILL.md:238-253 SKILL.md:253-256 SKILL.md:256-258 SKILL.md:258-259 SKILL.md:259-269 SKILL.md:269-280 SKILL.md:280-283 SKILL.md:283-292 SKILL.md:292-303 SKILL.md:303-311 SKILL.md:311-314 SKILL.md:314-331 SKILL.md:331-342 SKILL.md:342-361 SKILL.md:361-364 SKILL.md:364-384 SKILL.md:384-395 SKILL.md:395-407 SKILL.md:407-410 SKILL.md:410-416 SKILL.md:416-428 SKILL.md:428-438 SKILL.md:438-463
🌐 网络访问 (9)
最新一次完成的静态与语义审计未检测到已确认的安全发现。这并不能证明该 Skill 没有副作用。
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-security-review/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-security-review?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-security-review?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-review/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-security-review.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
affaan-m. (2026). security-review security audit report (audit version 5) [Author version 1.0]. Skillstore. https://skillstore.io/skills/sickn33-security-review/audits/5BibTeX 引用
@techreport{affaan-m-sickn33-security-review-2026,
author = {affaan-m},
title = {security-review security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-security-review/audits/5},
note = {Author version 1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-review security audit report (audit version 5)"
version: "1.0"
type: report
authors:
- name: "affaan-m"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-security-review/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-security-review:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
69
社区
83
规范符合性
你能构建什么
部署前审查 API 端点
在新端点进入生产环境前，检查验证、授权、速率限制、错误处理和敏感数据暴露。
标准化拉取请求安全检查
在代码审查中对身份验证、密钥、依赖项更新和不安全日志记录应用同一套检查清单。
为敏感功能发布做准备
在接受真实客户流量之前，审查支付、上传、用户数据和第三方 API 集成。
试试这些提示
运行基础安全检查清单
审查此变更是否存在硬编码密钥、输入验证、身份验证、授权和不安全日志记录问题。先总结最高风险。
审查新的 API 端点
审查这个新的 API 端点的验证、授权、CSRF 风险、速率限制、错误消息和敏感数据暴露。
审计敏感数据流
跟踪此敏感数据流从输入到存储和日志的过程。识别密钥处理、访问控制、错误和第三方调用中的风险。
规划发布安全审查
为此功能创建发布安全审查计划。覆盖测试、安全标头、行级安全性、速率限制、依赖项和修复顺序。
最佳实践
- 在实现前以及部署前再次审查高风险变更。
- 要求为每个检查项提供证据，例如测试、安全标头、策略或配置截图。
- 优先修复能够保护密钥、用户数据、支付和授权边界的问题。
避免
- 在没有检查实际代码路径的情况下，将完成检查清单视为安全性的证明。
- 只审查前端控制，而后端授权仍未验证。
- 在安全审查期间忽略日志、错误消息和部署设置。
常见问题
此技能能替代专业渗透测试吗？
不能。它有助于组织审查工作，但高风险系统仍需要专家测试和生产环境验证。
我可以将它与 Claude、Codex 和 Claude Code 一起使用吗？
可以。此技能兼容支持基于技能指导的 Claude、Codex 和 Claude Code 工作流。
它最适合哪些类型的应用？
它适用于包含身份验证、API、文件上传、支付、密钥、用户数据或 Supabase 集成的 Web 应用。
它会自动扫描我的代码库吗？
不能。它提供审查结构和提示。你仍需要提供代码上下文并验证发现的问题。
团队应如何在拉取请求中使用它？
对高风险变更运行检查清单，为每个项目记录证据，并在高风险问题解决前阻止发布。
它涵盖区块链安全吗？
它包括基本的 Solana 钱包和交易检查，但不覆盖完整的智能合约审计。