القائمة
OWASP Top 10 安全审查 Skill。对代码进行系统化安全审计，基于 OWASP Top 10 (2021) 逐项检查，输出漏洞详情和修复建议。触发条件：(1) 安全审查/Security Audit，(2) OWASP 检查，(3) 漏洞扫描，(4) 安全评估，(5) 安全代码审查，(6) 检查安全问题。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
工作流度量仪表盘 Skill。一条命令扫描 pm-assistant 项目目录的本地产物（gate-results JSON、PRD 文档、wireframes、hifi-wireframes），生成含 Chart.js 图表的自包含 HTML 仪表盘（dashboard.html）。展示：7 阶段流程进度时间轴、产物统计卡片（Module PRD 数 / 低保真原型数 / 高保真原型数 / Gate 评审轮次）、Gate 评审雷达图 + 堆叠条形图（pass/warn/fail）、待改进事项清单。触发条件：(1) 查看/生成项目指标或度量，(2) 生成工作流仪表盘，(3) 可视化 Gate 评审结果，(4) 流程健康检查，(5) 产物覆盖率统计，(6) 生成 dashboard，(7) 查看评审进度或产物状态。
文档质量 Lint 检查 Skill。对 PRD、架构文档进行结构化 Lint 检查，自动生成需求追溯矩阵（RTM），追踪 Gate Warning 闭环。触发条件：(1) PRD Lint/文档检查，(2) 架构文档 Lint，(3) 生成 RTM/需求追溯矩阵，(4) Warning 追踪/扫描，(5) 文档质量检查，(6) Gate 预检，(7) doc-lint。
通过飞书远程 MCP 服务查询和操作飞书云文档。支持搜索文档、读取文档内容、创建/更新文档、查看知识库目录、获取评论等。触发条件：(1) 查询飞书文档，(2) 搜索飞书云文档内容，(3) 读取飞书文档/知识库，(4) 创建或更新飞书文档，(5) 同步飞书文档内容到本地，(6) 查看飞书文档评论。
工作流度量仪表盘 Skill。一条命令扫描 pm-assistant 项目目录的本地产物（gate-results JSON、PRD 文档、wireframes、hifi-wireframes），生成含 Chart.js 图表的自包含 HTML 仪表盘（dashboard.html）。展示：7 阶段流程进度时间轴、产物统计卡片（Module PRD 数 / 低保真原型数 / 高保真原型数 / Gate 评审轮次）、Gate 评审雷达图 + 堆叠条形图（pass/warn/fail）、待改进事项清单。触发条件：(1) 查看/生成项目指标或度量，(2) 生成工作流仪表盘，(3) 可视化 Gate 评审结果，(4) 流程健康检查，(5) 产物覆盖率统计，(6) 生成 dashboard，(7) 查看评审进度或产物状态。
技术架构设计 Skill。根据产品需求文档（PRD）设计完整的技术架构方案，输出结构化的架构设计文档。覆盖技术栈选型、系统架构、数据模型、API 设计、部署方案、非功能需求、安全设计等。触发条件：(1) 设计技术架构，(2) 从 PRD 推导技术方案，(3) 系统设计/技术选型，(4) 数据库设计，(5) API 设计，(6) 部署架构设计。
代码审查规范 Skill。对代码进行系统化审查，按 MUST/SHOULD/NIT 三级分类输出审查意见，覆盖正确性、安全性、可维护性、性能、规范性五大维度。触发条件：(1) 代码审查/Code Review，(2) PR Review/Pull Request 审查，(3) 审查代码质量，(4) MUST/SHOULD/NIT 分级审查，(5) 代码走查，(6) 审查这个 PR。
| name | security-audit |
| description | OWASP Top 10 安全审查 Skill。对代码进行系统化安全审计，基于 OWASP Top 10 (2021) 逐项检查，输出漏洞详情和修复建议。触发条件：(1) 安全审查/Security Audit，(2) OWASP 检查，(3) 漏洞扫描，(4) 安全评估，(5) 安全代码审查，(6) 检查安全问题。 |
基于 OWASP Top 10 (2021) 对代码进行系统化安全审计。逐项检查 10 大安全风险类别，输出漏洞详情、严重等级和修复建议。
| 等级 | 标记 | 含义 | 处置要求 |
|---|---|---|---|
| 🔴 Critical | [CRITICAL] | 可被远程利用，直接影响数据安全或系统可用性 | 立即修复，阻断发布 |
| 🟠 High | [HIGH] | 需要特定条件利用，影响较大 | 发布前必须修复 |
| 🟡 Medium | [MEDIUM] | 有风险但利用成本较高 | 限期修复（建议 1-2 周） |
| 🟢 Low | [LOW] | 最佳实践建议，安全加固 | 建议修复 |
检查项：
Access-Control-Allow-Origin 是否过于宽泛（*）../检查项：
检查项：
exec()/eval()/system() 拼接用户输入检查项：
检查项：
X-Content-Type-Options、X-Frame-Options、Strict-Transport-Security检查项：
package.json/requirements.txt/pom.xml/go.mod 中是否有已知漏洞依赖package-lock.json/yarn.lock/poetry.lock（防止供应链攻击）检查项：
检查项：
pickle.loads、ObjectInputStream、JSON.parse 后未验证）检查项：
检查项：
127.0.0.1、169.254.169.254（云元数据）、内网 IP 段package.json、requirements.txt、pom.xml、go.mod、Gemfile、*.csproj）按 OWASP Top 10 逐项检查：
### [CRITICAL] A03: SQL 注入 — {简述}
**文件**：`{file_path}`
**行号**：L{start}-L{end}
**OWASP**：A03 Injection
**漏洞描述**：
{详细描述漏洞原理和影响}
**问题代码**：
```{language}
// 存在问题的代码
修复建议：
// 修复后的代码
影响评估：{可能的攻击场景和业务影响}
### 步骤 4：配置审查
1. **环境变量**：检查 `.env` 文件是否在 `.gitignore` 中，密钥是否硬编码
2. **CORS 配置**：检查 `Access-Control-Allow-Origin` 设置
3. **CSP 配置**：检查 Content-Security-Policy 设置
4. **TLS/SSL**：检查 HTTPS 强制和证书配置
5. **Docker/K8s**：检查容器安全配置（非 root 运行、端口暴露、Secret 管理）
### 步骤 5：生成安全审计报告
输出格式：
```markdown
# 🔒 安全审计报告
> **审计范围**：{项目名/PR/模块}
> **审计日期**：{当前日期}
> **审计基线**：OWASP Top 10 (2021)
---
## 审计摘要
| 等级 | 数量 |
|------|------|
| 🔴 Critical | {count} |
| 🟠 High | {count} |
| 🟡 Medium | {count} |
| 🟢 Low | {count} |
**合规状态**：{✅ 通过 / ⚠️ 有条件通过 / ❌ 未通过}
---
## OWASP Top 10 检查矩阵
| # | 类别 | 状态 | 发现数 | 最高等级 |
|---|------|------|--------|---------|
| A01 | Broken Access Control | ✅/⚠️/❌ | {N} | {等级} |
| A02 | Cryptographic Failures | ✅/⚠️/❌ | {N} | {等级} |
| A03 | Injection | ✅/⚠️/❌ | {N} | {等级} |
| A04 | Insecure Design | ✅/⚠️/❌ | {N} | {等级} |
| A05 | Security Misconfiguration | ✅/⚠️/❌ | {N} | {等级} |
| A06 | Vulnerable Components | ✅/⚠️/❌ | {N} | {等级} |
| A07 | Auth Failures | ✅/⚠️/❌ | {N} | {等级} |
| A08 | Integrity Failures | ✅/⚠️/❌ | {N} | {等级} |
| A09 | Logging Failures | ✅/⚠️/❌ | {N} | {等级} |
| A10 | SSRF | ✅/⚠️/❌ | {N} | {等级} |
---
## 漏洞详情
{按严重等级排列的漏洞列表，Critical 在前}
---
## 依赖安全
| 依赖 | 当前版本 | 安全版本 | CVE | 等级 |
|------|---------|---------|-----|------|
| {pkg} | {ver} | {safe_ver} | {CVE-ID} | {等级} |
---
## 修复优先级
1. 🔴 **立即修复**：{Critical 项列表}
2. 🟠 **发布前修复**：{High 项列表}
3. 🟡 **限期修复**：{Medium 项列表}
4. 🟢 **建议改进**：{Low 项列表}
---
## 合规建议
{整体安全改进建议，如引入 SAST/DAST 工具、安全培训等}
| OWASP | 关键检查点 |
|---|---|
| A01 | 中间件权限检查（express/koa/nest 的 Guard/Middleware）、路由保护 |
| A02 | crypto.createHash('md5') → 改用 bcrypt、JWT secret 强度 |
| A03 | eval()、innerHTML、dangerouslySetInnerHTML、${} SQL 拼接、child_process.exec() |
| A05 | helmet 中间件、cors() 配置、生产环境 NODE_ENV=production |
| A07 | express-session 配置（secure/httpOnly/sameSite）、JWT 过期设置 |
| A10 | axios/fetch 发起的请求是否验证目标地址 |
| OWASP | 关键检查点 |
|---|---|
| A01 | Django @permission_required、Flask @login_required、对象级权限 |
| A02 | hashlib.md5() → 改用 bcrypt/passlib、Fernet 密钥管理 |
| A03 | exec()/eval()、os.system()、subprocess.shell=True、f-string SQL、pickle.loads() |
| A05 | Django DEBUG=False、ALLOWED_HOSTS、SECURE_* 设置 |
| A07 | Django SESSION_COOKIE_SECURE、CSRF_COOKIE_HTTPONLY |
| A10 | requests.get(user_url) 未验证目标、urllib.request.urlopen() |
| OWASP | 关键检查点 |
|---|---|
| A01 | Spring Security @PreAuthorize/@Secured、URL 级别权限配置 |
| A02 | MessageDigest.getInstance("MD5") → 改用 BCryptPasswordEncoder |
| A03 | Statement → PreparedStatement、Runtime.exec() 参数拼接、XSS 输出编码 |
| A05 | Spring Boot Actuator 端点保护、server.error.include-stacktrace=never |
| A07 | Spring Session 配置、@EnableWebSecurity |
| A08 | ObjectInputStream.readObject() 反序列化安全 |
| OWASP | 关键检查点 |
|---|---|
| A01 | 中间件权限校验、context 传递用户身份 |
| A02 | crypto/md5 → 改用 golang.org/x/crypto/bcrypt、密钥管理 |
| A03 | database/sql 参数化查询、html/template vs text/template、os/exec 参数注入 |
| A05 | net/http TLS 配置、CORS 中间件、生产环境调试关闭 |
| A07 | JWT 库选择（golang-jwt）、Session cookie 配置 |
| A10 | http.Get(userURL) 内网地址校验、DNS rebinding |