affaan-m/security-review

在添加身份验证、处理用户输入、使用密钥、创建 API 端点或实现支付/敏感功能时使用此技能。提供全面的安全检查清单和模式。

编程协作开发 Agent Agent 技能调研代码安全审查身份认证审计 API端点安全密钥凭证管理支付功能风险检查

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Security Review Skill

This skill ensures all code follows security best practices and identifies potential vulnerabilities.

When to Activate

Implementing authentication or authorization
Handling user input or file uploads
Creating new API endpoints
Working with secrets or credentials
Implementing payment features
Storing or transmitting sensitive data
Integrating third-party APIs

Security Checklist

1. Secrets Management

FAIL: NEVER Do This

const apiKey = "sk-proj-xxxxx"  // Hardcoded secret
const dbPassword = "password123" // In source code

PASS: ALWAYS Do This

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// Verify secrets exist
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

Verification Steps

No hardcoded API keys, tokens, or passwords
All secrets in environment variables
.env.local in .gitignore
No secrets in git history
Production secrets in hosting platform (Vercel, Railway)

2. Input Validation

Always Validate User Input

import { z } from 'zod'

// Define validation schema
const Cr…

以下为摘要预览，完整内容请查看 GitHub 原文。

Security Review Skill

此技能确保所有代码遵循安全最佳实践，并识别潜在的漏洞。

何时激活

实现身份验证或授权
处理用户输入或文件上传
创建新的 API 端点
使用密钥或凭证
实现支付功能
存储或传输敏感数据
集成第三方 API

安全检查清单

1. 密钥管理

错误做法：严禁这样做

const apiKey = "sk-proj-xxxxx"  // 硬编码密钥
const dbPassword = "password123" // 出现在源代码中

正确做法：始终这样做

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// 验证密钥是否存在
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

验证步骤

没有硬编码的 API 密钥、令牌或密码
所有密钥都存放在环境变量中
.env.local 已加入 .gitignore
Git 历史中没有密钥
生产环境密钥存放在托管平台中（Vercel、Railway）

2. 输入验证

始终验证用户输入

import { z } from 'zod'

// 定义验证 schema
const CreateUserSchema = z.object({
  email: z.string().email(),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
})

// 在处理之前进行验证
export async function createUser(input: unknown) {
  try {
    const validated = CreateUserSchema.parse(input)
    return await db.users.create(validated)
  } catch (error) {
    if (error instanceof z.ZodError) {
      return { success: false, errors: error.issues }
    }
    throw error
  }
}