菜单
当用户需要编写或修改 Web 后端代码时，应当使用此技能。包括但不限于： "写个接口"、"新增 API"、"实现登录功能"、"添加用户查询"、"文件上传接口"、 "数据库查询"、"调用第三方 API"、"写个 Controller"、"REST 接口开发"、 "添加权限校验"、"数据导出功能"。 即使用户没有提到"安全"或"漏洞"，只要涉及 Web 接口、数据访问、用户输入处理、 外部资源调用等场景，都应触发此技能。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
| name | prevent-web-security-bugs |
| description | 当用户需要编写或修改 Web 后端代码时，应当使用此技能。包括但不限于： "写个接口"、"新增 API"、"实现登录功能"、"添加用户查询"、"文件上传接口"、 "数据库查询"、"调用第三方 API"、"写个 Controller"、"REST 接口开发"、 "添加权限校验"、"数据导出功能"。 即使用户没有提到"安全"或"漏洞"，只要涉及 Web 接口、数据访问、用户输入处理、 外部资源调用等场景，都应触发此技能。 |
按以下三步执行安全代码生成。安全漏洞的修复成本随开发阶段推进急剧上升——在代码生成阶段消除漏洞成本最低，上线后修复可能需要紧急发布、数据迁移甚至承担安全事故损失。
逐条分析用户需求，对照下表判断哪些风险类型适用于当前场景。
| 风险类型 | 触发场景 | 参考文档 |
|---|---|---|
| Query Language 注入 | 字符串拼接构造 SQL/HQL/NoSQL 查询 | references/prevent-ql-injection.md |
| 越权访问 | 按资源 ID 查询或修改数据；接口访问控制 | references/prevent-unauthorized-access.md |
| SSRF | 服务端发起 HTTP 请求，目标地址来自用户输入 | references/prevent-ssrf.md |
| 路径遍历 | 文件操作，路径由用户输入控制 | references/prevent-path-traversal.md |
| OS 命令执行 | 执行系统命令，命令内容包含用户输入 | references/prevent-os-command-execution.md |
| 代码执行 | 动态执行脚本或表达式，内容来自用户输入 | references/prevent-code-execution.md |
| 模板注入 | 模板引擎渲染用户可控内容 | references/prevent-template-injection.md |
| 反序列化 | 反序列化用户输入或解析 JSON | references/prevent-deserialization.md |
| 凭据硬编码 | 敏感信息直接硬编码到代码中 | references/prevent-hardcoded-credentials.md |
| XXE | XML 解析 | references/prevent-xxe.md |
对第一步中识别出的每个风险类型，读取对应的参考文档，理解漏洞根因、防范模式和安全 API 用法。完成所有文档阅读后再进入第三步。
在完整理解安全规范后，按以下原则完成用户需求：
references/prevent-ql-injection.md — SQL/NoSQL 注入防范references/prevent-unauthorized-access.md — 越权访问防范references/prevent-ssrf.md — SSRF 防范references/prevent-path-traversal.md — 路径遍历防范references/prevent-os-command-execution.md — OS 命令执行防范references/prevent-code-execution.md — 代码执行防范references/prevent-template-injection.md — 模板注入防范references/prevent-deserialization.md — 反序列化防范references/prevent-hardcoded-credentials.md — 凭据硬编码防范references/prevent-xxe.md — XXE 防范在整个编码任务完成后（所有文件修改均已完成、即将结束本次回复时），必须主动调用此技能执行一次安全审查。 满足以下任意一条时必须激活： (1) 完成了代码新增、功能实现、bug 修复或重构，即将输出最终回复； (2) 使用了 Write/Edit/NotebookEdit 等工具修改了源代码文件。 不要在每次写入单个文件后调用，整个任务的最后一步调用一次。 不要在仅回答问题、阅读文件、执行 git 操作时激活。 此技能是代码交付前的最后一道安全防线，聚焦于发现并修复本次任务引入的安全漏洞。
当用户需要编写、重构或修改 C/C++ 代码时，应当使用此技能。包括但不限于： "写一个 C 函数"、"帮我实现一个 C++ 类"、"重构这段 C 代码"、"修复这个 C++ bug"、 "优化这段内存操作"、"添加一个网络包解析函数"、"实现文件读取功能"、"使用 memcpy/malloc"、 "处理用户输入"、"多线程同步"、 "智能指针"、"管理动态内存"。 即使用户没有明确提到"安全"或"漏洞"，只要涉及 C/C++ 代码编写或修改，都应触发此技能。
当用户需要编写、修改或审查基础设施配置文件时，应当使用此技能。包括但不限于： "写 k8s yaml"、"配置 Kubernetes"、"写 Deployment"、"创建 Pod"、"配置 Service"、 "写 Dockerfile"、"docker-compose 配置"、"Helm chart"、"Terraform 配置"、 "写 NetworkPolicy"、"配置 RBAC"、"ServiceAccount 权限"、"容器安全配置"、 "配置 Secret"、"ConfigMap 配置"、"PodSecurityContext"、"镜像配置"。 即使用户没有提到"安全"或"漏洞"，只要涉及容器、k8s、IaC 配置文件的编写或修改，都应触发此技能。
当用户需要编写、重构或修改 JavaScript/TypeScript 代码时，必须激活本技能。激活后，先执行威胁分析，再查阅对应安全规范文档，最后生成符合安全编码标准的代码，确保不引入已知安全漏洞。