Claude Code Skills

Appearance

security-review — 安全审查 ​

  • 触发方式: /security-review 或关键词「安全审查」「security audit」「安全检查」
  • 适用场景: 代码安全审查、依赖漏洞检查、认证/授权流程审查
  • 不适用场景: 通用代码审查（用 review）、渗透测试

功能概述 ​

security-review 对代码进行专项安全审查，覆盖 OWASP Top 10 常见漏洞：注入攻击、认证漏洞、敏感数据暴露、XXE、访问控制缺失等。

触发条件 ​

以下情况会自动触发 security-review：

  • 提到「安全检查」「安全审计」
  • 涉及认证/授权/加密代码
  • 使用 /security-review 命令

使用示例 ​

示例 1：API 安全审查 ​

/security-review 审查 src/api/ 下所有接口的安全性

Claude 会检查：

  • SQL 注入风险（参数化查询）
  • XSS 防护（输入输出编码）
  • CSRF 保护
  • 认证中间件是否全覆盖
  • 敏感数据是否在日志中泄露

示例 2：认证流程审查 ​

/security-review 审查登录和 Token 刷新流程的安全性

示例 3：依赖检查 ​

/security-review 检查 package.json 中是否有已知漏洞的依赖

示例 4：文件上传 ​

/security-review 审查文件上传功能：类型校验、大小限制、存储安全

示例 5：权限控制 ​

/security-review 审查用户角色权限检查逻辑是否有越权风险

检查清单 ​

类别检查项
注入SQL、NoSQL、OS 命令、LDAP 注入
认证密码策略、Session 管理、JWT 安全
授权越权风险、缺少权限检查的端点
数据敏感数据加密、日志脱敏、传输安全
输入XSS、文件上传、反序列化
配置安全头、CORS 配置、错误信息泄露

注意事项 ​

  • 安全审查是深度审查，比 review 更聚焦安全维度
  • 发现的漏洞会标注严重程度：Critical / High / Medium / Low
  • 生产环境代码建议定期进行安全审查
  • 安全审查不能替代专业渗透测试
  • 敏感配置（密钥、Token）应立即处理

相关 Skills ​