post-edit-security-review

name	post-edit-security-review
description	在整个编码任务完成后（所有文件修改均已完成、即将结束本次回复时），必须主动调用此技能执行一次安全审查。 满足以下任意一条时必须激活： (1) 完成了代码新增、功能实现、bug 修复或重构，即将输出最终回复； (2) 使用了 Write/Edit/NotebookEdit 等工具修改了源代码文件。 不要在每次写入单个文件后调用，整个任务的最后一步调用一次。 不要在仅回答问题、阅读文件、执行 git 操作时激活。 此技能是代码交付前的最后一道安全防线，聚焦于发现并修复本次任务引入的安全漏洞。

代码修改后安全审查规范

技能目标

在代码变更完成后立即进行安全扫描，发现并修复已引入的安全漏洞，确保交付的代码不含已知安全风险。

代码修改完成后是拦截安全漏洞的关键时机——在代码合并或上线前发现并修复漏洞，远比上线后应急响应的代价低。

---

工作流程

按以下四步执行代码安全审查。每一步均必须执行，不可跳过。

---

第一步：识别本次变更的代码范围

明确本次修改涉及的所有文件和代码片段：

• 列出所有被新增或修改的文件路径
• 标注每个文件中变更的核心逻辑（新增函数、修改逻辑、新增依赖等）
• 判断变更涉及的技术栈（Web 后端 / C/C++ 系统代码 / JavaScript/TypeScript / IaC 基础设施配置 / 其他）

---

第二步：按技术栈扫描安全漏洞

根据第一步识别的技术栈，逐类检查下列安全风险。对每一个适用的风险类型，读取对应的参考文档后再执行检查。

2A：Web 后端代码安全检查

适用场景：变更涉及 Web 接口、数据库访问、用户输入处理、文件操作、外部 HTTP 请求、命令执行、模板渲染、XML 解析、反序列化、认证鉴权。

风险类型	检查要点	参考文档
Query Language 注入	是否存在字符串拼接构造 SQL/HQL/NoSQL	../prevent-web-security-bugs/references/prevent-ql-injection.md
越权访问	按资源 ID 操作前是否校验当前用户权限	../prevent-web-security-bugs/references/prevent-unauthorized-access.md
SSRF	服务端 HTTP 请求目标是否来自用户输入且未过滤内网地址	../prevent-web-security-bugs/references/prevent-ssrf.md
路径遍历	文件路径是否由用户输入拼接且未规范化	../prevent-web-security-bugs/references/prevent-path-traversal.md
OS 命令执行	系统命令中是否包含未转义的用户输入	../prevent-web-security-bugs/references/prevent-os-command-execution.md
代码执行	是否动态执行了来自用户输入的脚本或表达式	../prevent-web-security-bugs/references/prevent-code-execution.md
模板注入	模板引擎是否渲染了用户可控内容	../prevent-web-security-bugs/references/prevent-template-injection.md
反序列化	反序列化的数据是否来自不可信来源	../prevent-web-security-bugs/references/prevent-deserialization.md
凭据硬编码	是否有密码、密钥、Token 直接写入代码	../prevent-web-security-bugs/references/prevent-hardcoded-credentials.md
XXE	XML 解析器是否禁用了外部实体	../prevent-web-security-bugs/references/prevent-xxe.md

2B：C/C++ 代码安全检查

适用场景：变更涉及 C/C++ 内存操作、字符串处理、文件读写、系统调用、多线程。

风险类型	检查要点	参考文档
缓冲区溢出	缓冲区读写是否有长度约束	../prevent-c-cpp-security-bugs/references/prevent-buffer-overflow.md
UAF	free/delete 后指针是否置空，后续是否继续使用	../prevent-c-cpp-security-bugs/references/prevent-use-after-free.md
Double free	同一块内存是否可能被释放两次	../prevent-c-cpp-security-bugs/references/prevent-double-free.md
格式化字符串漏洞	格式化函数参数是否来自不可信输入	../prevent-c-cpp-security-bugs/references/prevent-format-string-vuln.md
整数溢出/下溢	内存分配、数组索引计算是否可能溢出	../prevent-c-cpp-security-bugs/references/prevent-integer-overflow-underflow.md
符号扩展/类型转换	有符号数和无符号数混合运算是否安全	../prevent-c-cpp-security-bugs/references/prevent-signedness-bugs.md
条件竞争	多线程对共享资源的访问是否正确同步	../prevent-c-cpp-security-bugs/references/prevent-race-condition.md
危险函数调用	是否使用了 gets/strcpy/sprintf 等危险函数	../prevent-c-cpp-security-bugs/references/prevent-potential-dangerous-function.md
QL 注入	是否拼接了数据库查询语句	../prevent-c-cpp-security-bugs/references/prevent-ql-injection.md
路径遍历	文件路径是否由用户输入拼接	../prevent-c-cpp-security-bugs/references/prevent-path-tranversal.md
OS 命令执行	system/popen/execve 是否包含用户输入	../prevent-c-cpp-security-bugs/references/prevent-os-command-execution.md

2C：JavaScript/TypeScript 代码安全检查

适用场景：变更涉及 JavaScript/TypeScript 代码，包括 Node.js 后端、前端页面、构建脚本等。

风险类型	检查要点	参考文档
Query Language 注入	是否拼接 SQL/NoSQL 查询语句	../prevent-js-security-bugs/references/prevent-ql-injection.md
OS 命令注入	child_process.exec 等是否包含用户输入	../prevent-js-security-bugs/references/prevent-os-command-execution.md
代码注入	是否使用 eval/new Function/动态 require 执行非字面量字符串	../prevent-js-security-bugs/references/prevent-code-injection.md
原型链污染	递归合并或深拷贝时键名是否来自用户输入	../prevent-js-security-bugs/references/prevent-prototype-pollution.md
XSS	用户输入是否未转义直接插入 DOM 或 HTML 模板	../prevent-js-security-bugs/references/prevent-xss.md
路径遍历	文件路径是否由用户输入拼接且未规范化	../prevent-js-security-bugs/references/prevent-path-traversal.md
SSRF	服务端 HTTP 请求目标是否由用户输入控制	../prevent-js-security-bugs/references/prevent-ssrf.md
不安全反序列化	是否反序列化来自不可信来源的数据	../prevent-js-security-bugs/references/prevent-deserialization.md
弱随机数	是否使用 Math.random() 生成安全敏感值	../prevent-js-security-bugs/references/prevent-weak-random.md
PostMessage Origin 校验缺失	接收跨窗口消息时是否校验 event.origin	../prevent-js-security-bugs/references/prevent-postmessage-origin.md
时序攻击	是否使用 === 比较 HMAC/Token 等安全敏感字符串	../prevent-js-security-bugs/references/prevent-timing-attack.md
ReDoS	是否存在嵌套量词或用户输入构造的动态正则	../prevent-js-security-bugs/references/prevent-redos.md
Buffer 安全问题	是否使用已废弃的 new Buffer 或 allocUnsafe 未填充	../prevent-js-security-bugs/references/prevent-buffer-issues.md
不安全传输	是否通过 HTTP 加载外部资源或请求 API	../prevent-js-security-bugs/references/prevent-insecure-transport.md
硬编码凭证	是否将 API Key/密码/密钥直接写入源代码	../prevent-js-security-bugs/references/prevent-hardcoded-secrets.md

2D：IaC 基础设施配置安全检查

适用场景：变更涉及 Kubernetes YAML、Dockerfile、docker-compose、Helm chart、Terraform 等基础设施配置文件。

风险类型	检查要点	参考文档
特权容器与 root 运行	容器是否以特权模式或 root 用户运行	../prevent-iac-security-bugs/references/prevent-privileged-containers.md
凭据硬编码	env/ConfigMap/Dockerfile 中是否含明文密码或密钥	../prevent-iac-security-bugs/references/prevent-hardcoded-secrets.md
网络暴露与策略缺失	Service 类型是否合理，是否配置 NetworkPolicy	../prevent-iac-security-bugs/references/prevent-network-exposure.md
Dockerfile 安全	是否存在 ADD 替代 COPY、未指定 USER、缺少 HEALTHCHECK 等问题	../prevent-iac-security-bugs/references/prevent-dockerfile-security.md
RBAC 过度授权	Role/ClusterRole 是否使用通配符或过度授权	../prevent-iac-security-bugs/references/prevent-rbac-misconfiguration.md
宿主机路径挂载	是否挂载 hostPath 或 Docker socket 导致逃逸风险	../prevent-iac-security-bugs/references/prevent-host-path-mount.md
Capabilities 滥用	是否授予了不必要的 Linux Capabilities	../prevent-iac-security-bugs/references/prevent-capabilities-misconfiguration.md

---

第三步：输出审查结论

完成所有适用的安全检查后，按以下格式输出结论：

情况一：发现安全漏洞

## 安全审查结果：发现 {N} 个安全问题

| # | 文件 | 行号 | 漏洞类型 | 风险等级 | 问题描述 |
|---|---|---|---|---|---|
| 1 | path/to/file.java | L42 | SQL 注入 | 高危 | 直接拼接用户输入构造 SQL 查询 |
| 2 | path/to/file.java | L78 | 越权访问 | 高危 | 未校验当前用户是否有权限访问该资源 |

正在修复上述问题...

随后立即进入第四步执行修复。

情况二：未发现安全漏洞

## 安全审查结果：未发现安全漏洞

已检查以下风险类型：{列出实际检查的风险类型}
本次修改的代码符合安全编码规范，审查完成。

审查结束，无需执行第四步。

---

第四步：修复安全漏洞（仅在发现漏洞时执行）

对第三步列出的每个漏洞，按以下原则修复：

• 精准修复：仅修改存在漏洞的代码，不扩大改动范围
• 参照规范：依据第二步读取的参考文档中的安全 API 和防御模式进行修复
• 保持功能：修复后代码逻辑与原始需求保持一致，不引入功能回归
• 修复验证：修复完成后，针对同一风险类型重新检查，确认漏洞已消除

修复完成后，输出修复摘要：

## 修复摘要

| # | 漏洞类型 | 修复方式 | 状态 |
|---|---|---|---|
| 1 | SQL 注入 | 改用参数化查询（PreparedStatement） | 已修复 |
| 2 | 越权访问 | 在查询前增加 userId 归属校验 | 已修复 |

所有安全问题已修复，审查完成。

---

审查原则

• 完整覆盖：本次变更涉及多少文件，就审查多少文件，不遗漏
• 按需查阅：每个识别出的风险类型，必须先读取对应参考文档再判断，避免误判
• 零容忍高危：高危/严重风险必须修复，不可以注释或文档说明代替修复
• 最小化改动：修复只改有问题的代码，不借机重构无关逻辑