security-audit git:20260414.3583839A

Immutable. This exact content is served forever at /api/v1/blob/89f849b5b5d54f00.

---
name: security-audit
description: 代码安全审计 - 漏洞扫描、依赖检查、安全最佳实践
---

# 代码安全审计

## 触发条件
当用户要求安全检查、漏洞扫描、安全审计、依赖安全检查时激活此技能。

## 检查清单

### 🔴 高危
- [ ] 硬编码密钥/密码/API Key
- [ ] SQL 注入风险（字符串拼接 SQL）
- [ ] 命令注入（未过滤的 shell 命令）
- [ ] 路径遍历（未校验的文件路径）
- [ ] 反序列化漏洞

### 🟡 中危
- [ ] XSS 风险（未转义的用户输入）
- [ ] CSRF 保护缺失
- [ ] 不安全的随机数生成
- [ ] 敏感信息日志泄露
- [ ] 过宽的权限设置

### 🟢 低危
- [ ] 缺少输入验证
- [ ] 依赖版本过旧
- [ ] 缺少安全头部
- [ ] 错误信息泄露内部细节

## 输出格式
按严重程度分类列出问题，每个问题包含：
- 文件路径和行号
- 风险描述
- 攻击场景
- 修复方案（含代码示例）