affaan-m/security-review

在添加身份验证、处理用户输入、接触密钥、创建 API 端点或实现支付/敏感功能时使用此技能。它提供全面的安全检查清单和模式。

编程协作开发 Agent Agent 技能调研安全审查清单认证授权校验输入处理加固 API 端点防护敏感功能审查

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Skill de Revisión de Seguridad

Este skill garantiza que todo el código siga las buenas prácticas de seguridad e identifica vulnerabilidades potenciales.

Cuándo Activar

Implementar autenticación o autorización
Manejar entrada de usuario o subida de archivos
Crear nuevos endpoints de API
Trabajar con secretos o credenciales
Implementar funcionalidades de pago
Almacenar o transmitir datos sensibles
Integrar APIs de terceros

Lista de Verificación de Seguridad

1. Gestión de Secretos

FALLA: NUNCA Hacer Esto

const apiKey = "sk-proj-xxxxx"  // Secreto hardcodeado
const dbPassword = "password123" // En el código fuente

PASA: SIEMPRE Hacer Esto

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// Verificar que los secretos existen
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

Pasos de Verificación

Sin claves de API, tokens ni contraseñas hardcodeadas
Todos los secretos en variables de entorno
.env.local en .gitignore
Sin secretos en el historial de git
Secretos de producción en la plataforma de hosting (Vercel, Railway)

##…

以下为摘要预览，完整内容请查看 GitHub 原文。

安全审查技能

此技能确保所有代码遵循安全最佳实践，并识别潜在的漏洞。

何时激活

实现身份验证或授权
处理用户输入或文件上传
创建新的 API 端点
接触密钥或凭证
实现支付功能
存储或传输敏感数据
集成第三方 API

安全检查清单

1. 密钥管理

错误：切勿这样做

const apiKey = "sk-proj-xxxxx"  // 硬编码密钥
const dbPassword = "password123" // 写入源代码

正确：始终这样做

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// 验证密钥存在
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

验证步骤

没有硬编码的 API 密钥、令牌或密码
所有密钥都使用环境变量
.env.local 已加入 .gitignore
git 历史中没有密钥
生产环境密钥存储在托管平台（Vercel、Railway）

2. 输入验证

始终验证用户输入

import { z } from 'zod'

// 定义验证模式
const CreateUserSchema = z.object({
  email: z.string().email(),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
})

// 在处理前进行验证
export async function createUser(input: unknown) {
  try {
    const validated = CreateUserSchema.parse(input)
    return await db.users.create(validated)
  } catch (error) {
    if (error instanceof z.ZodError) {
      return { success: false, errors: error.errors }
    }
    throw error
  }
}