code-audit
Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
소스 정보
- 저장소
- zhaoxuya520/reverse-skill
- 최근 소스 활동
- 2026년 8월 8일 10:32
- 감지된 SKILL.md 언어
- 중국어
- 스타
- 43,712
- 포크
- 6,460
설치 방법
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
소스 파일 검토
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
파일 탐색기
2 개 파일SKILL.md 표시 중
SKILL.md
소스 지침 · 읽기 전용 미리보기- name
- code-audit
- description
- Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
# Source Code Security Audit
## ACTION REQUIRED（读完后立刻执行）
1. `NOW`: 读取 `../field-journal/precedent-pentest.md` 或代码审计授权
2. `NOW`: 确认有**源码/仓库访问**（无源码二进制 → 转 RE skill）
3. `NOW`: 明确语言栈与范围（目录/服务/PR diff）
4. `NEXT`: tool-index；semgrep 等
5. `ACT`: 威胁建模草图 → 自动扫描 → 人工验证
## 适用场景
- 白盒审计、PR/差分安全审查
- Semgrep / CodeQL / Bandit / gosec 等 SAST
- 危险 API、注入点、鉴权缺失、加密误用
- 与 `supply-chain-security/` 分工：本 skill 偏**自有代码逻辑**，供应链偏依赖与管道
## 工作流
### 1. 范围与威胁模型
```text
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
```
### 2. 自动扫描
```bash
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
```
### 3. 人工验证（MUST）
```text
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
```
### 4. 产出
```text
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号
```
## 工具链
| 工具 | 语言/场景 |
|------|-----------|
| Semgrep | 多语言快速规则 |
| CodeQL | 深数据流（GitHub） |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |
## 参考
- `references/sast-review-checklist.md`
- `../supply-chain-security/` `../api-security/` `../llm-security/`（Agent 代码）
## 路由上下文
**上游**: MASTER R26
**角色**: `ops/role-map.md` cae
**下游**: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools
## 任务完成自检
- [ ] 是否人工验证而非只贴扫描器输出？
- [ ] 是否含修复建议？
- [ ] 是否限定在授权仓库范围？
- [ ] Checklist？
GitHub에서 보기