메뉴
对当前分支的 pending changes 做安全评审，命中密钥泄露 / SQL 注入 / XSS / SSRF / 权限绕过 / 危险依赖 六大类漏洞后出分级报告，再在用户批准下修复。用于 PR 合并前、对外开源前、线上事故后复盘。触发词：安全评审、security review、漏洞检查、密钥扫描、我的代码有没有安全问题。
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
SOC 직업 분류 기준
| name | huo15-openclaw-security-review |
| displayName | 火一五安全评审技能 |
| description | 对当前分支的 pending changes 做安全评审，命中密钥泄露 / SQL 注入 / XSS / SSRF / 权限绕过 / 危险依赖 六大类漏洞后出分级报告，再在用户批准下修复。用于 PR 合并前、对外开源前、线上事故后复盘。触发词：安全评审、security review、漏洞检查、密钥扫描、我的代码有没有安全问题。 |
| version | 1.0.0 |
| aliases | ["火一五安全评审技能","火一五安全审查技能","火一五漏洞扫描技能","火一五密钥扫描技能","火一五安全评审","安全评审","security review","安全审查","漏洞检查","密钥扫描"] |
| license | MIT |
六类漏洞矩阵 + 严重度分级 + 修复建议 — 青岛火一五信息科技有限公司
范围：默认 git diff main...HEAD（当前分支相对主干的全部改动）；用户可指定文件或 commit 范围。
产出：六类漏洞清单 + CVSS-like 严重度 + 每条修复建议 + 与 CWE 对照。
| 检查项 | 信号 |
|---|---|
| 硬编码 API key / token | /api[_-]?key\s*[:=]\s*["']([A-Za-z0-9_\-]{20,})["']/i |
| 硬编码密码 / JWT secret | password\s*[:=]\s*["'][^"']{6,}["']、jwt.*secret.*= |
.env 被提交 | git log --all -- .env 有记录 |
| 日志打印敏感字段 | console\.log.*password、logger.*token |
| 提交信息含密钥 | 扫 git log --all --oneline 的 message |
| Cloud 密钥格式特征 | AKIA...（AWS）/ ya29....（Google）/ ghp_... / npm_... |
| 检查项 | 信号 |
|---|---|
| SQL 拼接 | `SELECT ... ${...}`、+ userInput + |
| NoSQL 注入 | 未校验的 $where / $regex |
| 命令注入 | exec(userInput) / 模板字符串传 shell |
| 路径遍历 | path.join(root, userInput) 未 path.normalize + 边界校验 |
| LDAP / XPath / 模板注入 | 同样是拼接 |
| 检查项 | 信号 |
|---|---|
dangerouslySetInnerHTML | React 直接接用户输入 |
innerHTML = userInput | 原生 DOM |
v-html 未过滤 | Vue |
| 邮件 / 短信模板直接插值 | 出站 XSS（钓鱼） |
| 未设 CSP header | 响应头缺失 |
| 检查项 | 信号 |
|---|---|
fetch(userURL) 无白名单 | 可被打到 169.254.169.254（云 metadata） |
允许 file:// / gopher:// 协议 | scheme 未校验 |
| DNS rebinding 窗口 | 二次解析 |
| 检查项 | 信号 |
|---|---|
| 路由缺鉴权中间件 | Express / Next API route 裸接 |
| 水平越权 | 查询时没带 userId = currentUser.id |
| 直接对象引用（IDOR） | GET /api/order/:id 不校验归属 |
| JWT 不校验 signature | jwt.decode 代替 jwt.verify |
| 弱密码 / 默认账号残留 | grep admin/admin123 |
| 检查项 | 信号 |
|---|---|
| 已知 CVE 依赖 | 建议用户跑 npm audit / pnpm audit |
| 从 git / tarball 装的依赖 | package.json 有 git+https://... |
| postinstall 脚本 | 可执行任意代码 |
typosquatting 风险包 | lodas / requets 之类 |
git diff main...HEAD --name-onlycommit 范围 / 特定文件 / 整个项目npm audit — 返回命令让用户跑（避免长时间阻塞）## 安全评审报告 — <branch> vs main
**扫描范围**：12 个文件变更 · 扫描时间 2s
### 🔴 Critical（1 项，必须修）
1. **[Secrets]** `src/config.ts:18` — 硬编码 OpenAI API key
- 信号：`sk-proj-...` 匹配
- CWE-798（硬编码凭据）
- 修复：移入 `.env`；**立刻在 OpenAI 后台 revoke 此 key**
- 若已推送：`git filter-repo` 清历史 + force push
### 🟠 High（2 项）
2. **[Injection]** `src/api/search.ts:45` — SQL 拼接用户输入
3. **[Auth]** `src/api/order/[id].ts:12` — 缺归属校验（IDOR）
### 🟡 Medium（1 项）
4. **[XSS]** `components/Post.tsx:33` — dangerouslySetInnerHTML 渲染用户 markdown，未跑 DOMPurify
### 🟢 Low（1 项）
5. **[Dependency]** `package.json` — `lodash@4.17.15` 有 2 个 low CVE；建议升 4.17.21
### 建议跑（用户执行）
```bash
npm audit --production # 完整依赖漏洞
git log --all -p | grep -E "AKIA|ghp_|sk-proj" | head # 历史密钥扫描
---
## 五、硬红线（绝不触碰）
1. **不自动 revoke 线上密钥** — 只提醒用户去后台操作
2. **不自动 `git filter-repo` 改历史** — 返回命令让用户自己执行（破坏性）
3. **不自动 `npm audit fix --force`** — 可能大版本跳跃，给命令让用户决定
4. **不 exec `npm audit`** — 禁 child_process 铁律，返回命令
5. **不把密钥明文打印在报告里** — 脱敏为 `sk-proj-***...last4`
6. **不私自连外网验证密钥是否生效** — 只做静态扫描
---
## 六、与 huo15-openclaw-simplify 的边界
| 场景 | 用哪个 |
|------|--------|
| 只看安全 | **本技能** |
| 只看代码质量 | `huo15-openclaw-simplify` |
| 两者都看 + 给 PR 评论 | `huo15-openclaw-code-review` |
---
## 七、参考 CWE 速查
- CWE-798 硬编码凭据
- CWE-89 SQL 注入
- CWE-79 XSS
- CWE-918 SSRF
- CWE-639 IDOR
- CWE-937 已知漏洞组件
【青岛火一五信息科技有限公司】企业级 Word 文档生成技能，支持两种模式：规则模式（默认）和模板模式。触发词：写word，写文档、生成word、生成文档、创建文档、.docx、Word文档、写合同、写方案、写报告、写会议纪要、按模板生成、导出PDF、Word转PDF、生成PDF。
辉火 Token 优化器 — 在不降低 OpenClaw 性能的前提下，系统化扫描、清理、监控工作区 token 消耗。安全模式：默认 dry-run，备份先行，AGENTS 永不自动替换。
用宝塔(BT-Panel)HTTP API 操控火一五的服务器——查系统状态/内存/磁盘/负载、管网站 (停站/启站/重载)、数据库、SSL 证书、计划任务、Docker，以及调用任意宝塔接口。 当用户说"看下 xx 服务器状态/负载/磁盘""重启/停掉某网站""宝塔面板""续证书" "列计划任务""管一下服务器""bt panel"等运维意图时使用。支持多面板。 凭据在 ~/.huo15/baota.json，脚本 scripts/bt_api.py。
Use this skill whenever the user wants to manage their work in the 火一五/辉火云 company Odoo system (www.huo15.com, db=huo15) — to-dos / tasks ("记个待办" "加任务" "我的待办"), projects, timesheets ("记工时"), CRM leads & opportunities ("新建商机" "跟进客户" "销售管道"), follow-up activities & reminders ("提醒我" "3天后回访"), calendar events & meetings ("安排会议" "我这周日程" "提前30分钟提醒"), knowledge-base articles ("查/写知识库" "产品手册"), or document files ("找文档" "上传文件"). Also a one-stop "我今天/本周要做什么" briefing. Triggers on odoo, 辉火云企业套件, 公司系统, /odoo/to-do /project /timesheets /crm /calendar /knowledge /documents /sale /purchase /inventory, or "登录公司系统/保存 odoo 账号". Treat bare work-context mentions of 待办/任务/项目/工时/客户/商机/会议/日程/提醒/知识库/文档/销售/采购/库存/订单/发货/收货 as this skill. First run: login.py init (地址/数据库/账号/密码 → ~/.huo15/tools.md). Pure standard library, zero dependencies.
火一五多智能体协同 - 基于 OpenClaw sessions_spawn 的多 Agent 并行工作系统。支持协调者模式、任务分配、结果汇总。触发词：多智能体协同、多 Agent、并行任务、协调者模式。
Use this skill when the user says "你好世界" / "你好世界初始化" / "初始化龙虾" / "龙虾初始化" / "初始化" / "bootstrap" / "hello world" / "onboarding" / "重新认识一下" / "重置我的偏好" / "更新画像", OR when the current working directory contains a BOOTSTRAP.md file. This skill guides users through a 4-step onboarding process to initialize their OpenClaw workspace by creating IDENTITY.md, USER.md, SOUL.md, TOOLS.md, and AGENTS.md files.