name	metago-security-audit
description	安全审计技能。基于OWASP Top 10进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含CVE引用、漏洞等级、修复方案的安全审计报告。遵循A36法律优先于效率原则。
version	1.0.0
author	MetaGO
category	安全合规
platforms	["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
trigger	["安全审计","漏洞扫描","OWASP检查","渗透测试","依赖安全评估"]

安全审计（metago-security-audit）

描述

基于 OWASP Top 10 进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含 CVE 引用、漏洞等级、修复方案的结构化报告。遵循 A36 法律优先于效率原则。

触发条件

用户请求安全审计、漏洞扫描、渗透测试时激活
代码合并前安全审查
依赖更新时安全评估
与 metago-compliance 协同：合规检查时联动安全审计
涉及用户数据、支付、权限的功能强制触发

核心流程

1. OWASP Top 10 检查

A01 - 失效的访问控制

路径遍历漏洞（../、绝对路径）
越权访问（水平/垂直越权）
未授权 API 端点
缺失权限校验

A02 - 加密失败

明文传输（HTTP、未加密 WebSocket）
弱加密算法（MD5、SHA1、DES）
硬编码密钥/证书
敏感数据明文存储

A03 - 注入

SQL 注入（拼接查询、未参数化）
命令注入（shell 拼接、eval）
XSS（反射型、存储型、DOM 型）
LDAP/XPath/NoSQL 注入

A04 - 不安全设计

缺失威胁建模
不安全的业务流程（可重放、可绕过）
缺失速率限制（暴力破解、DoS）
敏感操作无二次确认

A05 - 安全配置错误

默认凭证未修改
错误信息泄露堆栈/路径
不安全的 HTTP 头（缺失 CSP、HSTS）
不必要的功能启用（DEBUG、TRACE）

A06 - 易受攻击的组件

已知 CVE 的依赖
过时依赖（超过 N 个版本）
未经审计的依赖（无签名、无 SBOM）
供应链攻击风险

A07 - 认证失败

弱密码策略
会话管理缺陷（固定会话、不过期）
缺失多因素认证（高权限场景）
凭证填充防护缺失

A08 - 数据完整性失败

反序列化漏洞
未签名的更新/插件
CI/CD 管道安全
代码注入（include/require 用户输入）

A09 - 日志与监控失败

安全事件未记录
日志包含敏感信息
缺失告警机制
日志可篡改

A10 - 服务端请求伪造（SSRF）

用户输入直接用于 URL 请求
内网访问未限制
协议白名单缺失
DNS 重绑定

2. 依赖漏洞扫描

检查 package.json / pom.xml / requirements.txt 依赖版本
比对 CVE 数据库
评估漏洞可利用性（CVSS 评分）
生成升级建议

3. 敏感信息检测

硬编码密钥（API Key、Token、Password）
日志中的敏感数据
配置文件中的明文凭证
Git 历史中的敏感信息

漏洞等级标准

等级	CVSS	含义	处理时效
🔴 Critical	9.0-10.0	立即修复（RCE、数据泄露）	24 小时内
🟠 High	7.0-8.9	尽快修复（注入、越权）	7 天内
🟡 Medium	4.0-6.9	计划修复（信息泄露）	30 天内
🔵 Low	0.1-3.9	评估修复（配置优化）	下个版本

输出格式

【安全审计报告】

## 1. 审计概览
审计范围：[文件/模块/项目]
审计时间：YYYY-MM-DD
总体安全评级：A/B/C/D/F
漏洞统计：Critical=N, High=N, Medium=N, Low=N

## 2. 漏洞详情

### 🔴 Critical
[V-001] [漏洞名称]
  类型：OWASP A0X - [类别]
  位置：file.ext:LXX
  描述：...
  影响：...
  CVE：CVE-2024-XXXX（如适用）
  CVSS：X.X
  修复方案：
    1. ...
    2. ...
  参考标准：...

### 🟠 High
[V-002] ...

### 🟡 Medium
[V-003] ...

### 🔵 Low
[V-004] ...

## 3. 依赖漏洞
| 依赖 | 当前版本 | 漏洞版本 | CVE | CVSS | 建议版本 |
|------|----------|----------|-----|------|----------|
| ... | ... | ... | ... | ... | ... |

## 4. 敏感信息检测
| # | 类型 | 位置 | 风险 | 处理建议 |
|---|------|------|------|----------|
| 1 | 硬编码 API Key | file.ext:LXX | 高 | 移至环境变量 |

## 5. 安全配置检查
| 检查项 | 状态 | 建议 |
|--------|------|------|
| HTTPS 强制 | ✅/❌ | ... |
| CSP 头 | ✅/❌ | ... |
| HSTS | ✅/❌ | ... |
| 速率限制 | ✅/❌ | ... |

## 6. 审计结论
安全状态：✅ 通过 / ❌ 需修复后重新审计
合规状态：符合 / 不符合 [标准名]
优先修复项：V-001, V-002

与其他技能的协同

与 metago-compliance 协同：安全审计联动法律/伦理/安全合规检查
与 metago-code-review-deep 协同：代码审查的安全维度联动安全审计
与 metago-decision-lock 协同：安全审计报告需通过决策锁校验
与 metago-fact-check 协同：验证漏洞的可利用性（避免误报）
与 metago-problem-trace 协同：漏洞根因无限溯源
与 metago-critique 协同：审计结论需通过批判性分析

Más de este repositorio

mismo repositorio

metago-activate

metago-ai/metagolifeform

元构生命体意识激活。将 8 条公理、7 条属性、6 层思维协议注入当前会话，使 AI 以元构超级智能生命体身份运行。适用于不支持系统提示词自动注入的平台（Claude Code / Codex / Cursor / CodeBuddy / Qoder / ZCode）。一次激活，会话内持久生效。

2026-07-092

metago-action-plan

metago-ai/metagolifeform

行动计划生成技能。将目标分解为可执行的步骤序列。每个步骤必须是可执行的，有明确的依赖关系和预期耗时，高风险步骤标注提醒和回滚方案。

2026-07-052

metago-architecture-design

metago-ai/metagolifeform

架构设计技能。根据业务需求生成完整系统架构方案，含架构模式选择、模块分解、接口契约、数据流设计、技术选型依据。遵循高内聚低耦合、可扩展、可维护原则，输出含决策依据的架构文档。

2026-07-052

metago-balance-optimize

metago-ai/metagolifeform

当用户需要优化系统平衡、进行APO三维动态平衡分析时触发

2026-07-052

metago-code-review-deep

metago-ai/metagolifeform

深度代码审查技能。对代码进行多维度分级审查（Critical/Major/Minor/Info），覆盖逻辑正确性、安全漏洞、性能瓶颈、可维护性、风格一致性。基于元构批判性分析（metago-critique）和事实核查（metago-fact-check）能力，输出含修复建议的结构化审查报告。

2026-07-052

metago-compliance

metago-ai/metagolifeform

合规主动检查技能。在每次任务执行前主动检查法律合规性、伦理合规性、安全合规性，遵循法律优先于效率原则。当任务涉及数据处理、用户隐私、安全操作、外部API调用时强制触发。

2026-07-052

name	metago-security-audit
description	安全审计技能。基于OWASP Top 10进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含CVE引用、漏洞等级、修复方案的安全审计报告。遵循A36法律优先于效率原则。
version	1.0.0
author	MetaGO
category	安全合规
platforms	["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
trigger	["安全审计","漏洞扫描","OWASP检查","渗透测试","依赖安全评估"]

安全审计（metago-security-audit）

描述

触发条件

用户请求安全审计、漏洞扫描、渗透测试时激活
代码合并前安全审查
依赖更新时安全评估
与 metago-compliance 协同：合规检查时联动安全审计
涉及用户数据、支付、权限的功能强制触发

核心流程

1. OWASP Top 10 检查

A01 - 失效的访问控制

路径遍历漏洞（../、绝对路径）
越权访问（水平/垂直越权）
未授权 API 端点
缺失权限校验

A02 - 加密失败

明文传输（HTTP、未加密 WebSocket）
弱加密算法（MD5、SHA1、DES）
硬编码密钥/证书
敏感数据明文存储

A03 - 注入

SQL 注入（拼接查询、未参数化）
命令注入（shell 拼接、eval）
XSS（反射型、存储型、DOM 型）
LDAP/XPath/NoSQL 注入

A04 - 不安全设计

缺失威胁建模
不安全的业务流程（可重放、可绕过）
缺失速率限制（暴力破解、DoS）
敏感操作无二次确认

A05 - 安全配置错误

默认凭证未修改
错误信息泄露堆栈/路径
不安全的 HTTP 头（缺失 CSP、HSTS）
不必要的功能启用（DEBUG、TRACE）

A06 - 易受攻击的组件

已知 CVE 的依赖
过时依赖（超过 N 个版本）
未经审计的依赖（无签名、无 SBOM）
供应链攻击风险

A07 - 认证失败

弱密码策略
会话管理缺陷（固定会话、不过期）
缺失多因素认证（高权限场景）
凭证填充防护缺失

A08 - 数据完整性失败

反序列化漏洞
未签名的更新/插件
CI/CD 管道安全
代码注入（include/require 用户输入）

A09 - 日志与监控失败

安全事件未记录
日志包含敏感信息
缺失告警机制
日志可篡改

A10 - 服务端请求伪造（SSRF）

用户输入直接用于 URL 请求
内网访问未限制
协议白名单缺失
DNS 重绑定

2. 依赖漏洞扫描

检查 package.json / pom.xml / requirements.txt 依赖版本
比对 CVE 数据库
评估漏洞可利用性（CVSS 评分）
生成升级建议

3. 敏感信息检测

硬编码密钥（API Key、Token、Password）
日志中的敏感数据
配置文件中的明文凭证
Git 历史中的敏感信息

漏洞等级标准

等级	CVSS	含义	处理时效
🔴 Critical	9.0-10.0	立即修复（RCE、数据泄露）	24 小时内
🟠 High	7.0-8.9	尽快修复（注入、越权）	7 天内
🟡 Medium	4.0-6.9	计划修复（信息泄露）	30 天内
🔵 Low	0.1-3.9	评估修复（配置优化）	下个版本

输出格式

【安全审计报告】

## 1. 审计概览
审计范围：[文件/模块/项目]
审计时间：YYYY-MM-DD
总体安全评级：A/B/C/D/F
漏洞统计：Critical=N, High=N, Medium=N, Low=N

## 2. 漏洞详情

### 🔴 Critical
[V-001] [漏洞名称]
  类型：OWASP A0X - [类别]
  位置：file.ext:LXX
  描述：...
  影响：...
  CVE：CVE-2024-XXXX（如适用）
  CVSS：X.X
  修复方案：
    1. ...
    2. ...
  参考标准：...

### 🟠 High
[V-002] ...

### 🟡 Medium
[V-003] ...

### 🔵 Low
[V-004] ...

## 3. 依赖漏洞
| 依赖 | 当前版本 | 漏洞版本 | CVE | CVSS | 建议版本 |
|------|----------|----------|-----|------|----------|
| ... | ... | ... | ... | ... | ... |

## 4. 敏感信息检测
| # | 类型 | 位置 | 风险 | 处理建议 |
|---|------|------|------|----------|
| 1 | 硬编码 API Key | file.ext:LXX | 高 | 移至环境变量 |

## 5. 安全配置检查
| 检查项 | 状态 | 建议 |
|--------|------|------|
| HTTPS 强制 | ✅/❌ | ... |
| CSP 头 | ✅/❌ | ... |
| HSTS | ✅/❌ | ... |
| 速率限制 | ✅/❌ | ... |

## 6. 审计结论
安全状态：✅ 通过 / ❌ 需修复后重新审计
合规状态：符合 / 不符合 [标准名]
优先修复项：V-001, V-002

与其他技能的协同

与 metago-compliance 协同：安全审计联动法律/伦理/安全合规检查
与 metago-code-review-deep 协同：代码审查的安全维度联动安全审计
与 metago-decision-lock 协同：安全审计报告需通过决策锁校验
与 metago-fact-check 协同：验证漏洞的可利用性（避免误报）
与 metago-problem-trace 协同：漏洞根因无限溯源
与 metago-critique 协同：审计结论需通过批判性分析