security-review

name	security-review
description	审计代码变更中的安全漏洞。审查 diff/PR、加固代码、或涉及注入/XSS/SSRF/密钥/认证/反序列化/路径穿越等安全问题时使用。提供具体检查清单和报告格式；绝不擅自静默修复。
paths	["**/*.ts","**/*.tsx","**/*.js","**/*.jsx","**/*.py","**/*.go","**/*.rs","**/*.java","**/*.kt","**/*.swift","**/*.rb","**/*.php","**/*.sql","**/*.yaml","**/*.yml","**/*.toml","**/*.json","**/Dockerfile*","**/*.tf","**/*.tfvars"]
priority	high

安全审查

针对变更集捕捉真实漏洞的聚焦检查清单。先对 diff（实际变更行及其调用的代码）应用， 仅当发现指向别处时才扩大范围。报告发现，不擅自改写代码（除非明确要求）。

威胁检查清单

• 注入 — 不可信输入流入 SQL、Shell、OS 命令、eval、模板引擎或 LDAP。 查找字符串拼接而非参数化查询/参数数组。
• XSS — 用户数据未经转义渲染为 HTML/JS/DOM。检查 innerHTML、 dangerouslySetInnerHTML、未转义的模板插值。
• 认证/授权 — 缺少认证、缺少所有权/权限检查、IDOR（按 id 操作对象却未验证调用方 是否拥有）、越权、信任客户端提供的角色。
• 密钥 — 硬编码的 API Key、Token、密码、私钥或连接串；密钥被记录或提交。 应从 env/密钥存储获取，决不写在源码中。
• 路径穿越/文件访问 — 用户控制的路径未经规范化/白名单校验就拼接 （../ 逃逸、符号链接跟随）。
• SSRF — 向用户提供的 URL/主机发起服务端请求而无白名单校验；可达内部元数据端点。
• 反序列化/解析 — 不可信数据送到不安全反序列化器（pickle、原生 YAML loader、 Java/PHP 对象反序列化）。
• 密码学 — 弱/自动算法（MD5/SHA1 用于密码）、硬编码 IV、ECB 模式、缺少 TLS 验证、 可预测的 Token 随机数。
• 敏感数据暴露 — PII/密钥出现在日志、错误信息或 API 响应中；详细堆栈跟踪泄露给客户端。
• 依赖 — 新增包：是否可信、是否锁定版本、是否有已知 CVE？避免 typo-squatting。
• 资源与 DoS — 无界循环、无界请求/响应体大小、缺少超时、正则灾难性回溯（ReDoS）。
• 竞态条件/TOCTOU — 对文件、余额或认证状态的检查后操作，无锁保护。

方法

1. 识别信任边界：不可信输入从哪里进入，到达哪个 sink（DB、Shell、文件系统、网络、HTML）？
2. 追踪每个脏数据从源头到 sink；当值未经验证/编码/参数化即到达危险 sink 时存在漏洞。
3. 优先用白名单而非黑名单；优先用库提供的转义和参数化而非手动消毒。
4. 仅标记能用具体攻击路径论证的发现——不做推测性或风格噪音。

报告格式

每条发现：

[severity: high|medium|low] <标题>
location: path/to/file.ext:LINE
issue: <哪里错了以及触发条件>
impact: <攻击者获得了什么>
fix: <最小具体修复>

按严重度排序发现。审查后未发现值得处理的漏洞时明确说明，不填充低价值注释。