| name | metago-security-audit |
| description | 安全审计技能。基于OWASP Top 10进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含CVE引用、漏洞等级、修复方案的安全审计报告。遵循A36法律优先于效率原则。 |
| version | 1.0.0 |
| author | MetaGO |
| category | 安全合规 |
| platforms | ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"] |
| trigger | ["安全审计","漏洞扫描","OWASP检查","渗透测试","依赖安全评估"] |
安全审计（metago-security-audit）
描述
基于 OWASP Top 10 进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含 CVE 引用、漏洞等级、修复方案的结构化报告。遵循 A36 法律优先于效率原则。
触发条件
- 用户请求安全审计、漏洞扫描、渗透测试时激活
- 代码合并前安全审查
- 依赖更新时安全评估
- 与
metago-compliance 协同：合规检查时联动安全审计
- 涉及用户数据、支付、权限的功能强制触发
核心流程
1. OWASP Top 10 检查
A01 - 失效的访问控制
- 路径遍历漏洞（../、绝对路径）
- 越权访问（水平/垂直越权）
- 未授权 API 端点
- 缺失权限校验
A02 - 加密失败
- 明文传输（HTTP、未加密 WebSocket）
- 弱加密算法（MD5、SHA1、DES）
- 硬编码密钥/证书
- 敏感数据明文存储
A03 - 注入
- SQL 注入（拼接查询、未参数化）
- 命令注入（shell 拼接、eval）
- XSS（反射型、存储型、DOM 型）
- LDAP/XPath/NoSQL 注入
A04 - 不安全设计
- 缺失威胁建模
- 不安全的业务流程（可重放、可绕过）
- 缺失速率限制（暴力破解、DoS）
- 敏感操作无二次确认
A05 - 安全配置错误
- 默认凭证未修改
- 错误信息泄露堆栈/路径
- 不安全的 HTTP 头（缺失 CSP、HSTS）
- 不必要的功能启用（DEBUG、TRACE）
A06 - 易受攻击的组件
- 已知 CVE 的依赖
- 过时依赖（超过 N 个版本）
- 未经审计的依赖（无签名、无 SBOM）
- 供应链攻击风险
A07 - 认证失败
- 弱密码策略
- 会话管理缺陷（固定会话、不过期）
- 缺失多因素认证（高权限场景）
- 凭证填充防护缺失
A08 - 数据完整性失败
- 反序列化漏洞
- 未签名的更新/插件
- CI/CD 管道安全
- 代码注入（include/require 用户输入）
A09 - 日志与监控失败
- 安全事件未记录
- 日志包含敏感信息
- 缺失告警机制
- 日志可篡改
A10 - 服务端请求伪造（SSRF）
- 用户输入直接用于 URL 请求
- 内网访问未限制
- 协议白名单缺失
- DNS 重绑定
2. 依赖漏洞扫描
- 检查 package.json / pom.xml / requirements.txt 依赖版本
- 比对 CVE 数据库
- 评估漏洞可利用性（CVSS 评分）
- 生成升级建议
3. 敏感信息检测
- 硬编码密钥（API Key、Token、Password）
- 日志中的敏感数据
- 配置文件中的明文凭证
- Git 历史中的敏感信息
漏洞等级标准
| 等级 | CVSS | 含义 | 处理时效 |
|---|
| 🔴 Critical | 9.0-10.0 | 立即修复（RCE、数据泄露） | 24 小时内 |
| 🟠 High | 7.0-8.9 | 尽快修复（注入、越权） | 7 天内 |
| 🟡 Medium | 4.0-6.9 | 计划修复（信息泄露） | 30 天内 |
| 🔵 Low | 0.1-3.9 | 评估修复（配置优化） | 下个版本 |
输出格式
【安全审计报告】
## 1. 审计概览
审计范围：[文件/模块/项目]
审计时间：YYYY-MM-DD
总体安全评级：A/B/C/D/F
漏洞统计：Critical=N, High=N, Medium=N, Low=N
## 2. 漏洞详情
### 🔴 Critical
[V-001] [漏洞名称]
类型：OWASP A0X - [类别]
位置：file.ext:LXX
描述：...
影响：...
CVE：CVE-2024-XXXX（如适用）
CVSS：X.X
修复方案：
1. ...
2. ...
参考标准：...
### 🟠 High
[V-002] ...
### 🟡 Medium
[V-003] ...
### 🔵 Low
[V-004] ...
## 3. 依赖漏洞
| 依赖 | 当前版本 | 漏洞版本 | CVE | CVSS | 建议版本 |
|------|----------|----------|-----|------|----------|
| ... | ... | ... | ... | ... | ... |
## 4. 敏感信息检测
| # | 类型 | 位置 | 风险 | 处理建议 |
|---|------|------|------|----------|
| 1 | 硬编码 API Key | file.ext:LXX | 高 | 移至环境变量 |
## 5. 安全配置检查
| 检查项 | 状态 | 建议 |
|--------|------|------|
| HTTPS 强制 | ✅/❌ | ... |
| CSP 头 | ✅/❌ | ... |
| HSTS | ✅/❌ | ... |
| 速率限制 | ✅/❌ | ... |
## 6. 审计结论
安全状态：✅ 通过 / ❌ 需修复后重新审计
合规状态：符合 / 不符合 [标准名]
优先修复项：V-001, V-002
与其他技能的协同
- 与
metago-compliance 协同：安全审计联动法律/伦理/安全合规检查
- 与
metago-code-review-deep 协同：代码审查的安全维度联动安全审计
- 与
metago-decision-lock 协同：安全审计报告需通过决策锁校验
- 与
metago-fact-check 协同：验证漏洞的可利用性（避免误报）
- 与
metago-problem-trace 协同：漏洞根因无限溯源
- 与
metago-critique 协同：审计结论需通过批判性分析
