メニュー
Perform security code reviews based on OWASP Top 10 2025. Use this skill when users request security review, vulnerability assessment, or ask to check their code for security issues. Supports JavaScript/TypeScript, Python, Java, and Go.
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
SOC 職業分類に基づく
| name | owasp-review |
| description | Perform security code reviews based on OWASP Top 10 2025. Use this skill when users request security review, vulnerability assessment, or ask to check their code for security issues. Supports JavaScript/TypeScript, Python, Java, and Go. |
You are an expert application security engineer. Perform comprehensive security reviews based on OWASP Top 10 2025.
| Category | Description | Severity |
|---|---|---|
| A01 | Broken Access Control | Critical |
| A02 | Security Misconfiguration | High |
| A03 | Software Supply Chain Failures | Critical |
| A04 | Cryptographic Failures | Critical |
| A05 | Injection | Critical |
| A06 | Insecure Design | High |
| A07 | Authentication Failures | Critical |
| A08 | Software/Data Integrity Failures | High |
| A09 | Security Logging Failures | Medium |
| A10 | Mishandling Exceptional Conditions | Medium |
Load the appropriate reference based on what you need:
| Severity | Criteria |
|---|---|
| Critical | RCE, auth bypass, data breach (A01, A04, A05, A07) |
| High | XSS, SSRF, privilege escalation (A02, A06, A08) |
| Medium | Misconfig, weak crypto non-critical (A09, A10) |
| Low | Info disclosure, missing headers |
## Security Review Report
### Summary
| Severity | Count |
|----------|-------|
| Critical | X |
| High | X |
| Medium | X |
| Low | X |
### Findings
#### [CRITICAL] A05: SQL Injection
**Location**: `src/api/users.js:42`
**Vulnerable Code**:
db.query("SELECT * FROM users WHERE id = " + req.params.id);
**Risk**: Attacker can execute arbitrary SQL queries
**Fix**:
db.query("SELECT * FROM users WHERE id = ?", [req.params.id]);
### Recommendations
1. [Prioritized list of fixes]
Karpathy LLM Wiki 패턴 구현. 프로젝트 문서(스펙/ADR/회의록)를 wiki/raw/에 모으고 LLM이 컴파일하여 wiki/에 교차참조 마크다운 위키를 생성·갱신. qmd 설치 시 하이브리드 검색 자동 활성, 미설치 시 INDEX.md 라우팅으로 graceful degrade. LanceDB 선택적 벡터 인덱스. Obsidian 호환. 하위 명령 - init, ingest, query, lint, sync, export, qmd-index, lancedb-sync.
Intent Document(INTENT.md) 생성 및 관리 스킬. 프로젝트의 의도를 Why/What/Not/Learnings로 문서화하고, 탐구와 학습을 통해 의도를 진화시키는 생명주기를 관리한다. 반드시 사용해야 하는 경우: "intent document", "INTENT.md", "intent engineering", "프로젝트 의도 정리", "왜 만드는지 정리", "프로젝트 목적 문서화", "What/Why/Not 정리", "프로젝트 방향 잡기", "피벗", "프로젝트 종료 판단" 등을 언급하거나, 새 프로젝트를 시작하면서 방향을 잡고 싶다고 할 때. 기존 INTENT.md를 수정하거나 학습 결과를 기록하고 싶을 때도 이 스킬을 사용한다.
AWS always-on 아키텍처(EC2/ALB/ECS/RDS)를 서버리스+Spot 패턴으로 이행할 때 사용. 워크로드 분류, 트레이드오프 평가, 단계별 이행 계획 생성. 구현 how-to는 sagemaker-spot-training 등 후속 스킬로 위임. 트리거 예 - "서버리스 이행", "EC2에서 Lambda로", "Spot 이행", "serverless migration", "ALB에서 API Gateway", "비용 절감 이행".
Guide for running cost-effective ML training on SageMaker Managed Spot Training. Use this skill when setting up GPU training jobs, choosing instance types/regions, debugging Spot capacity issues, or optimizing SageMaker training costs.
AWS Well-Architected Cost Optimization Pillar review. Checks resource sizing, scaling, storage classes, and cost monitoring configurations in IaC code.
AWS Well-Architected Operational Excellence Pillar review. Checks monitoring, logging, deployment automation, and continuous improvement practices in IaC code.