技能 security-review
📦
security-review
v1.0 內容修訂 r1 安全 ⚙️ 外部命令🌐 網路存取🔑 環境變數
發佈前審查 Web 應用程式安全性
安全性問題經常在團隊新增身份驗證、API、付款、上傳或敏感資料流程時出現。此技能提供聚焦的檢查清單與審查提示，協助在部署前找出常見的 Web 應用程式風險。
支援: Claude Codex Code(CC)
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "security-review" from https://skillstore.io/skills/sickn33-security-review.md and its manifest at https://skillstore.io/api/skills/sickn33-security-review/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「security-review」。 新的使用者個人資料端點接受電子郵件、顯示名稱與頭像上傳。
預期結果:
- 高優先級：要求身份驗證，並確認使用者只能更新自己的個人資料。
- 中優先級：驗證頭像上傳的檔案大小、MIME 類型與副檔名。
- 中優先級：回傳通用驗證錯誤，並避免暴露內部儲存路徑。
正在使用「security-review」。 結帳流程會儲存付款提供者 token，並將錯誤詳細資訊回傳給瀏覽器。
預期結果:
- 高優先級：確保付款 token 絕不會被記錄，或儲存在核准的提供者流程之外。
- 高優先級：將顯示給使用者的詳細付款錯誤替換為安全的通用訊息。
- 中優先級：針對重複結帳嘗試新增速率限制與監控。
正在使用「security-review」。 Supabase 管理員功能會讀取使用者記錄並更新角色。
預期結果:
- 高優先級：在每次角色更新前驗證伺服器端管理員授權。
- 高優先級：確認列層級安全性政策會阻止一般使用者讀取其他帳戶。
- 中優先級：新增稽核日誌，記錄執行者、目標使用者與動作，且不包含機密資訊。
安全審計
安全v5 • 2026/7/7 開啟版本化報告
Static analysis matched Markdown code fences, illustrative snippets, local fetch tests, and documentation links. I found no executable helper scripts, hidden network behavior, credential collection, prompt injection, or data exfiltration intent in SKILL.md.
1
已掃描檔案
496
分析行數
0
複核項目
0
已忽略的誤報
風險因素
⚙️ 外部命令 (49)
SKILL.md:27-30 SKILL.md:30-33 SKILL.md:33-41 SKILL.md:41-46 SKILL.md:46-53 SKILL.md:53-75 SKILL.md:75-78 SKILL.md:78-101 SKILL.md:101-113 SKILL.md:113-115 SKILL.md:115-117 SKILL.md:117-120 SKILL.md:120-132 SKILL.md:132-143 SKILL.md:143-149 SKILL.md:149-150 SKILL.md:150-153 SKILL.md:153-170 SKILL.md:170-173 SKILL.md:173-186 SKILL.md:186-198 SKILL.md:198-209 SKILL.md:209-212 SKILL.md:212-217 SKILL.md:224-227 SKILL.md:227-238 SKILL.md:238-253 SKILL.md:253-256 SKILL.md:256-258 SKILL.md:258-259 SKILL.md:259-269 SKILL.md:269-280 SKILL.md:280-283 SKILL.md:283-292 SKILL.md:292-303 SKILL.md:303-311 SKILL.md:311-314 SKILL.md:314-331 SKILL.md:331-342 SKILL.md:342-361 SKILL.md:361-364 SKILL.md:364-384 SKILL.md:384-395 SKILL.md:395-407 SKILL.md:407-410 SKILL.md:410-416 SKILL.md:416-428 SKILL.md:428-438 SKILL.md:438-463
🌐 網路存取 (9)
最近一次完成的靜態與語意稽核未偵測到已確認的安全發現。這並不能證明該 Skill 沒有副作用。
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/sickn33-security-review/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-security-review?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-security-review?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-review/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-security-review.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
affaan-m. (2026). security-review security audit report (audit version 5) [Author version 1.0]. Skillstore. https://skillstore.io/skills/sickn33-security-review/audits/5BibTeX 引用
@techreport{affaan-m-sickn33-security-review-2026,
author = {affaan-m},
title = {security-review security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-security-review/audits/5},
note = {Author version 1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-review security audit report (audit version 5)"
version: "1.0"
type: report
authors:
- name: "affaan-m"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-security-review/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-security-review:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 高 55
架構
85
可維護性
87
內容
69
社群
83
規範符合度
你可以打造什麼
部署前審查 API 端點
在新端點進入正式環境前，檢查驗證、授權、速率限制、錯誤處理，以及敏感資料暴露。
標準化 pull request 安全性檢查
在程式碼審查中，針對身份驗證、機密資訊、相依套件更新與不安全日誌套用相同檢查清單。
準備敏感功能上線
在接受真實客戶流量前，審查付款、上傳、使用者資料與第三方 API 整合。
試試這些提示
執行基本安全性檢查清單
Review this change for hardcoded secrets, input validation, authentication, authorization, and unsafe logging. Summarize the highest risks first.
審查新的 API 端點
Review this new API endpoint for validation, authorization, CSRF risk, rate limiting, error messages, and sensitive data exposure.
稽核敏感資料流程
Trace this sensitive data flow from input to storage and logs. Identify risks in secrets handling, access control, errors, and third-party calls.
規劃發佈安全性審查
Create a release security review plan for this feature. Cover tests, security headers, row level security, rate limits, dependencies, and remediation order.
最佳實務
- 在實作前審查高風險變更，並在部署前再次審查。
- 要求每個檢查清單項目都提供證據，例如測試、標頭、政策或設定截圖。
- 優先修正能保護機密資訊、使用者資料、付款與授權邊界的問題。
避免
- 將完成檢查清單視為安全證明，而未檢查實際程式碼路徑。
- 只審查前端控制項，而後端授權仍未驗證。
- 在安全性審查期間忽略日誌、錯誤訊息與部署設定。
常見問題
此技能可以取代專業滲透測試嗎？
否。它有助於組織審查工作，但高風險系統仍需要專家測試與正式環境驗證。
我可以將它用於 Claude、Codex 和 Claude Code 嗎？
可以。此技能相容於支援技能式指引的 Claude、Codex 和 Claude Code 工作流程。
它最適合哪些類型的應用程式？
它適合具備身份驗證、API、檔案上傳、付款、機密資訊、使用者資料或 Supabase 整合的 Web 應用程式。
它會自動掃描我的儲存庫嗎？
不會。它提供審查結構與提示。你仍需要提供程式碼脈絡並驗證發現的問題。
團隊應如何在 pull request 中使用它？
在高風險變更上執行檢查清單，記錄每個項目的證據，並在高風險問題解決前阻止發佈。
它涵蓋區塊鏈安全性嗎？
它包含基本的 Solana 錢包與交易檢查，但不涵蓋完整的智慧合約稽核。