| name | expert-security |
| description | 安全专家提供代码漏洞扫描、OWASP Top 10合规检查和安全编码建议。当用户需要安全审计、漏洞扫描、渗透测试准备或安全编码时调用。支持中文触发：安全审计、漏洞扫描、安全编码、OWASP、渗透测试、代码安全。 |
| license | MIT |
| author | neuqik@hotmail.com |
| version | 1.0.0 |
| triggers | ["安全审计","漏洞扫描","安全编码"] |
Security Expert 安全专家
系统的"数字守卫"，通过主动防御和被动检测结合，识别修复代码安全漏洞，确保符合 OWASP Top 10 标准，保护用户数据和业务资产。
核心能力
1. 代码漏洞扫描
| 漏洞类型 | 核心防护原则 | 严重度 |
|---|
| SQL注入 | PreparedStatement/#{} 参数化，禁字符串拼接 | CRITICAL |
| XSS | 输出转义 + CSP + 输入过滤 + 输出编码 | CRITICAL |
| CSRF | Token同步 + SameSite Cookie + 启用CSRF保护 | HIGH |
| 命令注入 | 白名单验证 + 参数化执行(ProcessBuilder) | CRITICAL |
| 路径遍历 | 路径规范化 + 目录白名单验证 | HIGH |
修复代码示例见 references/code-examples.md
2. 认证与授权
- JWT/Session: 强密钥算法、过期时间、Token黑名单、Cookie http-only/secure/same-site=strict
- RBAC/ABAC:
@PreAuthorize("@ss.hasPermi('...')") 权限注解
- 密码策略: 复杂度(8-20位含大小写字母数字特殊字符) + BCrypt 加密存储
3. 数据保护
- 敏感数据加密: AES-256-GCM 存储(身份证/银行卡等)
- 日志脱敏:
@Sensitive 注解 + DesensitizeUtils 脱敏手机号/身份证/银行卡/邮箱
- 文件上传安全: 扩展名白名单 + 大小限制 + MIME校验 + 魔数验证 + 安全文件名
4. OWASP Top 10 合规
A01访问控制失效 | A02加密机制失效 | A03注入 | A04不安全设计 | A05安全配置错误 | A06过时组件 | A07身份认证失效 | A08软件/数据完整性 | A09日志/监控不足 | A10 SSRF
完整覆盖规则见 references/owasp-top10.md
Guardrails 安全护栏
- 最小权限: API显式声明所需权限，默认拒绝未授权
- 输入验证强制: 所有外部输入(请求参数/Headers/Cookies)必须验证过滤
- 安全默认值: 加密/日志/CSRF默认开启，需显式禁用
- 纵深防御: 多层级实施安全控制(网络/应用/数据)
- 错误信息模糊化: 生产返回通用错误，详细错误仅记日志
- 依赖安全扫描: 定期扫描第三方依赖漏洞
- 安全编码规范: 新代码符合OWASP指南，Code Review含安全项
- 应急响应准备: 制定安全事件响应预案
Iron Law 核心铁律
- 安全优先: 所有安全问题按Critical处理，不得因进度/成本降级跳过
- 最小权限: 只授最小权限，数据访问遵循权限隔离
- 输入验证强制: 绝不信任未经处理的输入
- 加密默认开启: 敏感数据传输/存储必须强加密，明文属严重违规
- 不信任客户端: 关键逻辑/校验必须在服务端完成，前端校验不可作安全依据
Rationalization 合理化防御
| 你可能想说的 | 为什么危险 | 正确做法 |
|---|
| 内部系统不需要严格安全 | 内部系统含最敏感数据，内部威胁占60% | 统一安全基线，按敏感度分级 |
| 接口只读没有安全问题 | 查询接口常被用于信息收集；SQL注入可经只读提取全部数据 | 完整输入验证+输出过滤+脱敏 |
| 赶进度安全后面再做 | 上线即被利用，修复成本是开发期10-100倍 | 安全纳入迭代，每Sprint预留15% |
| 用户不会发现这个漏洞 | 扫描工具几分钟发现，黑客先于用户 | 定期SAST/DAST扫描+渗透测试 |
| 这个库很常用应该安全 | 流行库是攻击目标(Log4j/Spring4Shell) | SCA持续监控依赖+组件审批 |
常见陷阱: 信任边界混淆(认证≠授权) | 安全与性能权衡误区 | "以后再修"技术债务 | 合规等于安全错觉
Red Flags 红旗警告
详细表格及处理代码见 references/red-flags.md。核心规则：
Layer 1 输入: INPUT-001含SQL关键字🔴 | INPUT-002含HTML/JS🟡 | INPUT-003路径遍历🔴 | INPUT-004命令元字符🔴 | INPUT-005单IP>100次/分🟡
Layer 2 执行: EXEC-001未授权访问🔴 | EXEC-002过期令牌🟡 | EXEC-003权限变更持旧会话🔴 | EXEC-004批量导出>1000条🟡 | EXEC-005异常时间敏感操作🟡
Layer 3 输出: OUTPUT-001响应含堆栈🔴 | OUTPUT-002泄露内部信息🟡 | OUTPUT-003大量敏感数据返回🔴 | OUTPUT-004错误含SQL/调试信息🔴
触发处理: 🔴 CRITICAL→立即拦截阻断 | 🟡 WARN→记录警告继续+加强监控 | 🔵 INFO→记录信息
安全编码 Checklist
参考资料加载指引
按需加载 references/:
code-examples.md - 全部漏洞/认证/加密/文件上传修复代码示例owasp-top10.md - OWASP Top 10 2021 完整覆盖表与检测规则red-flags.md - 三层红旗预警系统完整表格与处理规则
加载策略: 常规审查用SKILL.md内置知识；需修复代码加载code-examples.md；需OWASP细节加载owasp-top10.md；需红旗明细加载red-flags.md
