القائمة
安全专家提供代码漏洞扫描、OWASP Top 10合规检查和安全编码建议。当用户需要安全审计、漏洞扫描、渗透测试准备或安全编码时调用。支持中文触发：安全审计、漏洞扫描、安全编码、OWASP、渗透测试、代码安全。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/wonderslife/pdd-skills-v3 --skill expert-securityيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | expert-security |
| description | 安全专家提供代码漏洞扫描、OWASP Top 10合规检查和安全编码建议。当用户需要安全审计、漏洞扫描、渗透测试准备或安全编码时调用。支持中文触发：安全审计、漏洞扫描、安全编码、OWASP、渗透测试、代码安全。 |
| license | MIT |
| author | neuqik@hotmail.com |
| version | 1.0.0 |
| triggers | ["安全审计","漏洞扫描","安全编码"] |
系统的"数字守卫"，通过主动防御和被动检测结合，识别修复代码安全漏洞，确保符合 OWASP Top 10 标准，保护用户数据和业务资产。
| 漏洞类型 | 核心防护原则 | 严重度 |
|---|---|---|
| SQL注入 | PreparedStatement/#{} 参数化，禁字符串拼接 | CRITICAL |
| XSS | 输出转义 + CSP + 输入过滤 + 输出编码 | CRITICAL |
| CSRF | Token同步 + SameSite Cookie + 启用CSRF保护 | HIGH |
| 命令注入 | 白名单验证 + 参数化执行(ProcessBuilder) | CRITICAL |
| 路径遍历 | 路径规范化 + 目录白名单验证 | HIGH |
修复代码示例见 references/code-examples.md
@PreAuthorize("@ss.hasPermi('...')") 权限注解@Sensitive 注解 + DesensitizeUtils 脱敏手机号/身份证/银行卡/邮箱A01访问控制失效 | A02加密机制失效 | A03注入 | A04不安全设计 | A05安全配置错误 | A06过时组件 | A07身份认证失效 | A08软件/数据完整性 | A09日志/监控不足 | A10 SSRF
完整覆盖规则见 references/owasp-top10.md
| 你可能想说的 | 为什么危险 | 正确做法 |
|---|---|---|
| 内部系统不需要严格安全 | 内部系统含最敏感数据，内部威胁占60% | 统一安全基线，按敏感度分级 |
| 接口只读没有安全问题 | 查询接口常被用于信息收集；SQL注入可经只读提取全部数据 | 完整输入验证+输出过滤+脱敏 |
| 赶进度安全后面再做 | 上线即被利用，修复成本是开发期10-100倍 | 安全纳入迭代，每Sprint预留15% |
| 用户不会发现这个漏洞 | 扫描工具几分钟发现，黑客先于用户 | 定期SAST/DAST扫描+渗透测试 |
| 这个库很常用应该安全 | 流行库是攻击目标(Log4j/Spring4Shell) | SCA持续监控依赖+组件审批 |
常见陷阱: 信任边界混淆(认证≠授权) | 安全与性能权衡误区 | "以后再修"技术债务 | 合规等于安全错觉
详细表格及处理代码见 references/red-flags.md。核心规则：
Layer 1 输入: INPUT-001含SQL关键字🔴 | INPUT-002含HTML/JS🟡 | INPUT-003路径遍历🔴 | INPUT-004命令元字符🔴 | INPUT-005单IP>100次/分🟡
Layer 2 执行: EXEC-001未授权访问🔴 | EXEC-002过期令牌🟡 | EXEC-003权限变更持旧会话🔴 | EXEC-004批量导出>1000条🟡 | EXEC-005异常时间敏感操作🟡
Layer 3 输出: OUTPUT-001响应含堆栈🔴 | OUTPUT-002泄露内部信息🟡 | OUTPUT-003大量敏感数据返回🔴 | OUTPUT-004错误含SQL/调试信息🔴
触发处理: 🔴 CRITICAL→立即拦截阻断 | 🟡 WARN→记录警告继续+加强监控 | 🔵 INFO→记录信息
#{})按需加载 references/:
code-examples.md - 全部漏洞/认证/加密/文件上传修复代码示例owasp-top10.md - OWASP Top 10 2021 完整覆盖表与检测规则red-flags.md - 三层红旗预警系统完整表格与处理规则加载策略: 常规审查用SKILL.md内置知识；需修复代码加载code-examples.md；需OWASP细节加载owasp-top10.md；需红旗明细加载red-flags.md