security
引導安全審查與弱點評估，遵循 OWASP 標準。 Use when: 安全稽核、弱點檢查、安全程式碼審查、威脅建模。 Not for: 自動化的相依套件、CVE 與機密掃描——請用 /scan；處理正在發生的資安事件——請用 /incident。 Keywords: security, OWASP, vulnerability, authentication, authorization, 資訊安全, 弱點, 認證, 授權, 威脅建模.
معلومات المصدر
- المستودع
- AsiaOstrich/universal-dev-standards
- آخر نشاط في المصدر
- ٢٠ أغسطس ٢٠٢٦ في ٠٦:٤٧
- لغة SKILL.md المكتشفة
- الصينية
- النجوم
- ٧٦
- التفرعات
- ١٣
خيارات التثبيت
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
مراجعة ملفات المصدر
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
عرض SKILL.md
SKILL.md
تعليمات المصدر · معاينة للقراءة فقط- name
- security
- source
- ../../../../skills/security-assistant/SKILL.md
- source_version
- 1.0.0
- translation_version
- 1.1.0
- last_synced
- 2026-08-17T00:00:00.000Z
- status
- current
- description
- 引導安全審查與弱點評估，遵循 OWASP 標準。 Use when: 安全稽核、弱點檢查、安全程式碼審查、威脅建模。 Not for: 自動化的相依套件、CVE 與機密掃描——請用 /scan；處理正在發生的資安事件——請用 /incident。 Keywords: security, OWASP, vulnerability, authentication, authorization, 資訊安全, 弱點, 認證, 授權, 威脅建模.
- allowed-tools
- Read, Grep, Glob
- scope
- universal
- argument-hint
- [module or file to audit | 要審計的模組或檔案]
# 安全審計助手
> **語言**: [English](../../../../skills/security-assistant/SKILL.md) | 繁體中文
引導系統化的安全審查，遵循 OWASP Top 10 和業界最佳實踐。
## 快速檢查清單 — OWASP Top 10 預防
| ID | 風險 | 預防措施 |
|----|------|----------|
| A01 | 存取控制失效 | 最小權限原則，預設拒絕 |
| A02 | 加密失敗 | 使用強加密演算法，保護金鑰 |
| A03 | 注入攻擊 | 參數化查詢、輸入驗證 |
| A04 | 不安全設計 | 威脅建模、安全設計模式 |
| A05 | 安全配置錯誤 | 強化預設值、最小權限 |
| A06 | 易受攻擊的元件 | 追蹤相依套件、定期修補 |
| A07 | 認證失敗 | 多因素認證、強密碼策略 |
| A08 | 資料完整性失敗 | 驗證簽章、使用可信來源 |
| A09 | 日誌記錄失敗 | 記錄安全事件、監控告警 |
| A10 | SSRF | 驗證 URL、限制對外流量 |
## 安全審查工作流程
```
SCOPE ──► SCAN ──► ANALYZE ──► REPORT
```
### 1. Scope — 定義審計範圍
識別目標模組、資料流和信任邊界。
### 2. Scan — 識別漏洞
檢查程式碼的 OWASP Top 10 模式、檢查相依套件、檢視配置。
### 3. Analyze — 評估風險
依嚴重程度（Critical/High/Medium/Low）和可利用性分類。
### 4. Report — 記錄發現
產出可行動的發現報告，附帶修復建議。
## 嚴重程度分類
| 等級 | 標準 |
|------|------|
| **Critical** | 遠端程式碼執行、資料洩漏 |
| **High** | 認證繞過、權限提升 |
| **Medium** | 資訊洩漏、CSRF |
| **Low** | 缺少 Header、冗長錯誤訊息 |
## 使用方式
- `/security` - 完整安全審查
- `/security src/auth` - 審計特定模組
- `/security --owasp` - OWASP Top 10 重點審查
## 下一步引導
`/security` 完成後，AI 助手應建議：
> **安全審查完成。建議下一步：**
> - 執行 `/checkin` 確認修復符合提交規範
> - 執行 `/code-review` 進行程式碼審查
> - 執行 `/commit` 提交安全修復
> - 檢查相依套件更新 → `npm audit` 或 `pip audit`
## 參考
- 核心規範：[security-standards.md](../../../../core/security-standards.md)
عرض على GitHub