代码审计技能 - 安全审计、代码质量审查、漏洞挖掘。当你涉及安全检查、漏洞修复、权限/认证逻辑修改、密钥管理、输入验证、OWASP相关问题时必须使用此技能。即使用户只是说"检查下安全"或"加个权限判断"，也应触发。
代码审计技能 - 安全审计、代码质量审查、漏洞挖掘。当你涉及安全检查、漏洞修复、权限/认证逻辑修改、密钥管理、输入验证、OWASP相关问题时必须使用此技能。即使用户只是说"检查下安全"或"加个权限判断"，也应触发。
npx skills add https://github.com/yuexueyu/anna-agent-skills --skill code-audit复制此命令并粘贴到 Claude Code 中以安装该技能
API工程师技能 - API设计规范、版本控制、错误处理、并发安全、性能优化、文档。当你新建/修改任何API端点、路由、控制器、HTTP请求处理、响应格式、中间件时必须使用此技能。即使用户只是说"加个接口"或"改下返回值"，也应触发。
Apple原生开发技能 - Swift/SwiftUI/AppKit/UIKit原生组件、API选择、权限配置、图标规格、Liquid Glass、上架规则、macOS/iOS平台特性。当你涉及Swift/SwiftUI/AppKit/UIKit原生开发、Apple平台特性、Xcode配置、权限entitlements、图标资源、App Store上架、Liquid Glass效果时必须使用此技能。即使用户只是说"用原生的"或"加个SwiftUI视图"，也应触发。
后端资深工程师技能 - 架构设计、服务端开发、中间件、错误处理、日志、配置管理、部署运维。当你涉及后端服务开发、Go/Python/Node/Java/PHP后端代码、中间件配置、服务间通信、配置管理、日志策略、进程管理、交叉编译、部署流程时必须使用此技能。即使用户只是说"写个接口"或"后端加个功能"，也应触发。
数据库工程师技能 - Schema设计、索引优化、并发安全、数据库审计。当你涉及数据库表/字段/索引/SQL/迁移/MCP数据库操作、建表改表、写查询时必须使用此技能。即使用户只是说"加个字段"或"查下数据"，也应触发。
Flutter跨端开发技能 - Dart语言、Widget组件、状态管理、平台通道(MethodChannel/EventChannel/Pigeon/FFI)、硬件对接(BLE/传感器/USB)、性能优化、常见坑、打包发布。当你涉及Flutter/Dart代码开发、跨平台UI、平台通道、原生插件、硬件通信、Flutter打包发布时必须使用此技能。即使用户只是说"Flutter加个功能"或"跨端开发"，也应触发。
Git工作流技能 - 提交规范、分支策略、冲突解决、提交验证。当你涉及git commit、git push、分支操作、合并、提交信息编写、代码提交时必须使用此技能。即使用户只是说"提交一下"或"git"，也应触发。
| name | code-audit |
| description | 代码审计技能 - 安全审计、代码质量审查、漏洞挖掘。当你涉及安全检查、漏洞修复、权限/认证逻辑修改、密钥管理、输入验证、OWASP相关问题时必须使用此技能。即使用户只是说"检查下安全"或"加个权限判断"，也应触发。 |
[安全核心清单] ① 外部输入=不可信，参数化一切（SQL/命令/路径） ② CRUD必须验资源所有权（防IDOR） ③ 500不返堆栈只返唯一错误ID [密钥三禁] ❌硬编码密钥 ❌MD5/SHA1做密码 ❌Math.random()做安全Token [并发铁律] 扣减必须原子化(WHERE count > 0)，先查后改必检TOCTOU窗口
写/改涉及安全的代码时，逐项检查：
npm/pip/go audit)，锁文件必须提交版本控制Grep高危模式：exec( eval( system( innerHTML v-html pickle.loads yaml.load( Math.random()用于安全场景
// turbo 5. 使用 Grep 搜索高危模式：
exec(, eval(, system(, Runtime.exec, os.system, NSTask, Process(innerHTML, dangerouslySetInnerHTML, v-html, 未转义输出../, 用户输入拼接文件路径、未canonicalizepassword, secret, apikey, token, key 在源码中pickle.loads, yaml.load(, NSKeyedUnarchiver, JSON.parse未校验Math.random(), rand(), random() 用于安全场景检查认证与授权：
Allow-Origin: *用于带认证API检查加密实践：
| 语言 | 危险函数/模式 | 风险 | 安全替代 |
|---|---|---|---|
| Go | fmt.Sprintf 拼SQL | SQL注入 | db.Query(sql, args...) |
| Go | os/exec.Command 拼用户输入 | 命令注入 | 参数数组传参，不经shell |
| Go | http.ListenAndServe 无TLS | 明文传输 | http.ListenAndServeTLS |
| Go | json.Unmarshal 无大小限制 | DoS | io.LimitReader 限制body |
| JS/TS | eval() / new Function() | 代码注入 | JSON.parse / 白名单 |
| JS/TS | innerHTML / v-html | XSS | textContent / v-text |
| JS/TS | Math.random() 做Token | 可预测 | crypto.randomUUID() |
| JS/TS | child_process.exec(userInput) | 命令注入 | execFile + 参数数组 |
| SQL | WHERE 1=1 + 拼条件 | SQL注入 | 参数化 + 条件构建器 |
| SQL | LIKE '%${input}%' | SQL注入 | 参数化 + 转义%和_ |
| Shell | eval "$user_input" | 命令注入 | 白名单验证 |
| Shell | rm -rf $var/ (var可能为空) | 删根目录 | rm -rf "${var:?}/" |
| Python | pickle.loads(user_data) | RCE | json.loads / 白名单类 |
| Swift | NSTask/Process 拼用户输入 | 命令注入 | 参数数组 + 白名单 |
| 漏洞类型 | CWE | CVSS范围 | 严重度 |
|---|---|---|---|
| SQL注入 | CWE-89 | 8.0-10.0 | Critical |
| 命令注入 | CWE-78 | 8.0-10.0 | Critical |
| 路径穿越 | CWE-22 | 6.0-8.0 | High |
| XSS | CWE-79 | 4.0-7.0 | Medium-High |
| CSRF | CWE-352 | 4.0-6.0 | Medium |
| IDOR(越权) | CWE-639 | 6.0-8.0 | High |
| 硬编码密钥 | CWE-798 | 7.0-9.0 | High-Critical |
| 不安全反序列化 | CWE-502 | 7.0-10.0 | High-Critical |
| SSRF | CWE-918 | 5.0-9.0 | Medium-Critical |
| 竞态条件 | CWE-362 | 4.0-7.0 | Medium-High |
| 弱加密 | CWE-327 | 5.0-7.0 | Medium-High |
| 不安全随机 | CWE-330 | 3.0-6.0 | Low-Medium |
检查计费/支付逻辑：
检查业务绕过：
检查数据泄露：
4A. 内存与类型安全（C/C++/ObjC/Rust unsafe）：
strcpy/sprintf/gets/固定大小缓冲区+用户输入size_t与有符号数混用printf/NSLog格式参数4B. 竞态条件利用：
4C. 密码学深度审计：
==而非常量时间比较(hmac.Equal/crypto.timingSafeEqual)4D. API安全深度：
4E. 客户端安全（移动端/桌面端）：
4F. 协议与通信安全：
4G. 供应链安全：
package-lock.json/Podfile.lock/go.sum且提交到版本控制postinstall/prebuild脚本是否执行可疑操作npm audit/pip audit/go vuln/bundle audit）## 审计报告
### 严重 (Critical) - 可直接利用造成数据泄露/资金损失
| # | 文件:行号 | 类型 | 描述 | 攻击场景 | 修复建议 |
|---|-----------|------|------|----------|----------|
### 高危 (High) - 需要特定条件但可造成严重后果
| # | 文件:行号 | 类型 | 描述 | 修复建议 |
### 中危 (Medium) - 安全最佳实践缺失
| # | 文件:行号 | 类型 | 描述 | 修复建议 |
### 低危 (Low) / 代码质量
| # | 文件:行号 | 类型 | 描述 | 建议 |
### 审计覆盖度
| 检查项 | 状态 | 备注 |
当用户要求"审计并修复"或"找出问题并解决"时，执行以下流程：
当用户完成一个功能开发/bug修复后，自动执行轻量审计：
| 检查项 | 安全做法 | 不安全做法 |
|---|---|---|
| Token存储 | HttpOnly Cookie / x-token Header | localStorage明文（XSS可窃取） |
| 黑名单机制 | 内存缓存快速查废弃token | 无黑名单（注销后token仍有效） |
| 自动续期 | 快过期时response header返回新token | 无续期（用户操作中突然掉线） |
| 多端互踢 | Redis记录活跃token，新登录废弃旧token | 无多端控制（账号共享无法察觉） |
| 密钥管理 | 环境变量/配置文件，禁硬编码 | JWT Secret硬编码在源码中 |
// 基于 角色ID + 请求路径 + 请求方法 的三元组权限控制
// 每个API端点都需要经过权限中间件校验
// 优点：权限与代码解耦，运行时动态修改，支持通配符
enforcer.Enforce(roleID, path, method) // → true/false
| 字段 | 说明 | 安全价值 |
|---|---|---|
| IP | 客户端IP | 异常登录/攻击溯源 |
| UserID | 操作人 | 责任追溯 |
| Method+Path | 请求方法+路径 | 操作行为分析 |
| Body | 请求体（截断1KB） | 攻击payload取证 |
| Resp | 响应体（截断1KB） | 数据泄露检测 |
| Latency | 耗时 | 异常慢请求检测 |
| Status | HTTP状态码 | 错误率监控 |
前端 unhandledrejection → API → DB sys_errors表（form='前端'）
后端 panic recovery → DB sys_errors表（form='后端'）
后台管理 → 统一查看/筛选/导出错误日志
安全价值：前端错误可能暴露XSS/CSRF攻击痕迹，后端panic可能暴露注入/溢出攻击
| 模式 | 安全等级 | 适用场景 |
|---|---|---|
strict-whitelist | 高 | 生产环境（仅允许指定域名） |
allow-all（Origin回显） | 低 | 开发环境（⚠️生产禁用） |
❌ Access-Control-Allow-Origin: * + Credentials | 危险 | 浏览器会拒绝，但仍暴露意图 |
前缀_IP（全局限流）或前缀_IP_Path（接口级限流）