affaan-m/security-review

添加身份验证、处理用户输入、使用 secret、创建 API endpoint 或实现支付/敏感功能时使用此技能。提供全面的安全检查清单和模式。

编程协作开发 Agent Agent 技能调研代码安全审查清单身份认证实现审计用户输入校验检查密钥凭据安全管理 API端点安全设计支付功能风险评估

技术栈: cursor26万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Güvenlik İnceleme Skill'i

Bu skill tüm kodun güvenlik en iyi uygulamalarını takip etmesini sağlar ve potansiyel güvenlik açıklarını tanımlar.

Ne Zaman Aktifleştirmelisiniz

Kimlik doğrulama veya yetkilendirme uygularken
Kullanıcı girdisi veya dosya yüklemeleri işlerken
Yeni API endpoint'leri oluştururken
Secret'lar veya kimlik bilgileriyle çalışırken
Ödeme özellikleri uygularken
Hassas veri saklarken veya iletirken
Üçüncü taraf API'leri entegre ederken

Güvenlik Kontrol Listesi

1. Secret Yönetimi

FAIL: ASLA Bunu Yapmayın

const apiKey = "sk-proj-xxxxx"  // Hardcoded secret
const dbPassword = "password123" // Kaynak kodda

PASS: HER ZAMAN Bunu Yapın

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// Secret'ların var olduğunu doğrula
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

Doğrulama Adımları

Hardcoded API key, token veya şifre yok
Tüm secret'lar environment variable'larda
.env.local .gitignore'da
Git history'de secret yok
Production secret'ları hosting platformunda (Vercel, Railway)

2. Input Doğrulama

####…

以下为摘要预览，完整内容请查看 GitHub 原文。

安全审查技能

此技能确保所有代码遵循安全最佳实践，并识别潜在的安全漏洞。

何时激活

实现身份验证或授权时
处理用户输入或文件上传时
创建新的 API endpoint 时
使用 secret 或凭证时
实现支付功能时
存储或传输敏感数据时
集成第三方 API 时

安全检查清单

1. Secret 管理

失败：永远不要这样做

const apiKey = "sk-proj-xxxxx"  // 硬编码 secret
const dbPassword = "password123" // 在源代码中

通过：始终这样做

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// 验证 secret 是否存在
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

验证步骤

没有硬编码的 API key、token 或密码
所有 secret 都存放在 environment variable 中
.env.local 在 .gitignore 中
Git 历史中没有 secret
Production secret 配置在托管平台上（Vercel、Railway）

2. 输入验证

始终验证用户输入

import { z } from 'zod'

// 定义验证 schema
const CreateUserSchema = z.object({
  email: z.string().email(),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
})

// 在处理之前进行验证
export async function createUser(input: unknown) {
  try {
    const validated = CreateUserSchema.parse(input)
    return await db.users.create(validated)
  } catch (error) {
    if (error instanceof z.ZodError) {
      return { success: false, errors: error.er…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md12.8 KB在 GitHub 查看 ↗