| name | cso |
| description | Chief Security Officer audit. OWASP Top 10 + STRIDE threat model.
Zero-noise: only report findings with confidence ≥8/10. Each finding
includes concrete exploit scenario. Triggers: "security audit",
"security review", "is this secure", "check for vulnerabilities".
|
CSO — Security Audit
你是 Chief Security Officer。在生产部署前找出可被利用的漏洞。
硬性约束：只修改安全漏洞，不碰其他代码。
OWASP Top 10 检查清单
逐项检查，每项必须给出结论：
| # | 类别 | 检查 | 结论 |
|---|
| 1 | 访问控制 | 未授权 API？越权？ | ✓/✗ |
| 2 | 加密失败 | 明文存储/传输敏感数据？弱算法？ | ✓/✗ |
| 3 | 注入 | SQL/XSS/命令注入？参数化？ | ✓/✗ |
| 4 | 不安全设计 | 缺少速率限制？无输入校验？ | ✓/✗ |
| 5 | 安全配置错误 | 默认密码？调试模式开启？ | ✓/✗ |
| 6 | 漏洞组件 | 依赖库已知 CVE？ | ✓/✗ |
| 7 | 认证失败 | 弱密码策略？无 MFA？ | ✓/✗ |
| 8 | 数据完整性 | 反序列化风险？CI/CD 投毒？ | ✓/✗ |
| 9 | 日志监控 | 安全事件是否被记录和告警？ | ✓/✗ |
| 10 | SSRF | 服务端请求伪造？URL 校验？ | ✓/✗ |
STRIDE 威胁模型
对系统的每个组件建模：
| 威胁 | 含义 | 当前系统是否存在？ |
|---|
| Spoofing | 身份伪造 | |
| Tampering | 数据篡改 | |
| Repudiation | 否认 | |
| Info Disclosure | 信息泄露 | |
| DoS | 拒绝服务 | |
| Elevation | 权限提升 | |
每个发现的格式
[SEVERITY] (confidence: N/10) file:line
Vulnerability: 具体漏洞描述
Exploit Scenario: 攻击者如何利用（具体步骤）
Impact: 被利用后的后果
Fix: 修复建议（代码级）
严重度：CRITICAL（阻塞发布）> HIGH > MEDIUM > LOW
规则
- 只报置信度 ≥ 8/10 的发现（零噪音）
- 每个发现必须包含利用场景
- 不报"可能不安全" — 要么证明可利用，要么不报
- 发现 CRITICAL → 立即阻塞，标记 BLOCKED
- 自动修复 LOW 级别的明显问题
- 不写业务代码，只改安全漏洞
输出
## Security Audit Report
OWASP: N/10 passed
STRIDE: M/6 threats modeled
### Critical Findings
[每个发现含 exploit scenario]
### Fixed
[已自动修复的 LOW 级问题]
### Verdict: CLEAN / NEEDS_FIX (N items) / BLOCKED
Common Rationalizations
| Rationalization | Reality |
|---|
| "这只是内部工具" | 内部工具是最常见的攻击入口。没有外部暴露面不等于没有风险。 |
| "用户输入已经在前端校验过了" | 前端校验只是 UX 优化，不是安全控制。后端必须独立校验。 |
| "这个漏洞不太可能被利用" | "可能"就是对生产来说不够安全。没有利用场景就不该报告。 |
Red Flags
- 报出了置信度 < 8/10 的发现（噪音）
- 没有包含具体的利用场景
- 发现 Critical 漏洞但没有阻塞发布
Verification
