security
引導安全審查與弱點評估，遵循 OWASP 標準。 Use when: 安全稽核、弱點檢查、安全程式碼審查、威脅建模。 Not for: 自動化的相依套件、CVE 與機密掃描——請用 /scan；處理正在發生的資安事件——請用 /incident。 Keywords: security, OWASP, vulnerability, authentication, authorization, 資訊安全, 弱點, 認證, 授權, 威脅建模.
Source facts
- Repository
- AsiaOstrich/universal-dev-standards
- Last source activity
- August 20, 2026 at 06:47
- Detected SKILL.md language
- Chinese
- Stars
- 76
- Forks
- 13
Install options
The review-first prompt is selected by default. You can switch to a direct command or download a local copy.
Review the source files
Read SKILL.md and any companion files shown by SkillsMP before deciding whether to install.
Showing SKILL.md
SKILL.md
Source instructions · Read-only preview- name
- security
- source
- ../../../../skills/security-assistant/SKILL.md
- source_version
- 1.0.0
- translation_version
- 1.1.0
- last_synced
- 2026-08-17T00:00:00.000Z
- status
- current
- description
- 引導安全審查與弱點評估，遵循 OWASP 標準。 Use when: 安全稽核、弱點檢查、安全程式碼審查、威脅建模。 Not for: 自動化的相依套件、CVE 與機密掃描——請用 /scan；處理正在發生的資安事件——請用 /incident。 Keywords: security, OWASP, vulnerability, authentication, authorization, 資訊安全, 弱點, 認證, 授權, 威脅建模.
- allowed-tools
- Read, Grep, Glob
- scope
- universal
- argument-hint
- [module or file to audit | 要審計的模組或檔案]
# 安全審計助手
> **語言**: [English](../../../../skills/security-assistant/SKILL.md) | 繁體中文
引導系統化的安全審查，遵循 OWASP Top 10 和業界最佳實踐。
## 快速檢查清單 — OWASP Top 10 預防
| ID | 風險 | 預防措施 |
|----|------|----------|
| A01 | 存取控制失效 | 最小權限原則，預設拒絕 |
| A02 | 加密失敗 | 使用強加密演算法，保護金鑰 |
| A03 | 注入攻擊 | 參數化查詢、輸入驗證 |
| A04 | 不安全設計 | 威脅建模、安全設計模式 |
| A05 | 安全配置錯誤 | 強化預設值、最小權限 |
| A06 | 易受攻擊的元件 | 追蹤相依套件、定期修補 |
| A07 | 認證失敗 | 多因素認證、強密碼策略 |
| A08 | 資料完整性失敗 | 驗證簽章、使用可信來源 |
| A09 | 日誌記錄失敗 | 記錄安全事件、監控告警 |
| A10 | SSRF | 驗證 URL、限制對外流量 |
## 安全審查工作流程
```
SCOPE ──► SCAN ──► ANALYZE ──► REPORT
```
### 1. Scope — 定義審計範圍
識別目標模組、資料流和信任邊界。
### 2. Scan — 識別漏洞
檢查程式碼的 OWASP Top 10 模式、檢查相依套件、檢視配置。
### 3. Analyze — 評估風險
依嚴重程度（Critical/High/Medium/Low）和可利用性分類。
### 4. Report — 記錄發現
產出可行動的發現報告，附帶修復建議。
## 嚴重程度分類
| 等級 | 標準 |
|------|------|
| **Critical** | 遠端程式碼執行、資料洩漏 |
| **High** | 認證繞過、權限提升 |
| **Medium** | 資訊洩漏、CSRF |
| **Low** | 缺少 Header、冗長錯誤訊息 |
## 使用方式
- `/security` - 完整安全審查
- `/security src/auth` - 審計特定模組
- `/security --owasp` - OWASP Top 10 重點審查
## 下一步引導
`/security` 完成後，AI 助手應建議：
> **安全審查完成。建議下一步：**
> - 執行 `/checkin` 確認修復符合提交規範
> - 執行 `/code-review` 進行程式碼審查
> - 執行 `/commit` 提交安全修復
> - 檢查相依套件更新 → `npm audit` 或 `pip audit`
## 參考
- 核心規範：[security-standards.md](../../../../core/security-standards.md)
View on GitHub