# 安全审查清单 (security-review)

> 提供安全检查清单和代码模式，覆盖密钥管理、输入校验、SQL 注入、认证授权、XSS、CSRF、限流和依赖安全。

- 分类: [安全审计](https://www.myskills.tools/zh/categories/security-audit/)
- 来源: 社区 · Affaan Mustafa
- 代码仓库: https://github.com/affaan-m/ECC/tree/main/skills/security-review (commit afa5651)
- SKILL.md: https://github.com/affaan-m/ECC/blob/main/skills/security-review/SKILL.md
- 安装命令: `npx skills add affaan-m/ECC --skill security-review`
- 许可证: MIT
- 兼容工具: Claude Code, Codex, Cursor, Copilot, OpenCode
- 权限: read-repo ✓, write-files ✓, shell ✓, network ✓
- 状态: 扫描通过
- 规则扫描无法覆盖所有风险，安装前请阅读此技能的 SKILL.md，确认权限后再使用。

## 核心规则

绝不硬编码 API 密钥、令牌或密码，所有密钥都放在环境变量中。

## 执行阶段

1. **识别场景** — 判断当前工作是否涉及认证授权、用户输入或文件上传、新 API 端点、密钥、支付、敏感数据或第三方 API。
2. **逐项检查** — 对照清单检查密钥、输入校验、参数化查询、认证授权、XSS、CSRF、限流、敏感数据暴露和 Solana 区块链安全。
3. **检查依赖** — 运行 npm audit 检查漏洞，更新依赖，提交 lock 文件，并在 CI 中使用 npm ci。
4. **编写安全测试** — 为认证（401）、授权（403）、非法输入（400）和限流（429）编写自动化测试。
5. **上线前核对** — 任何生产部署前逐项核对清单，包括 HTTPS、安全响应头、CORS、日志和 Supabase 行级安全。

## 权限说明（据 SKILL.md 整理）

| 能力 | 是否需要 | 说明 |
|---|---|---|
| 文件写入 | 需要 | 按清单中的模式修改代码并添加安全测试。 |
| 命令执行 | 部分需要 | 运行 npm audit、npm update、npm outdated 等依赖检查命令以及测试。 |
| 网络外发 | 部分需要 | npm audit 等依赖命令会访问 npm 包仓库。 |

## SKILL.md 头部信息（YAML）

```yaml
---
name: security-review
description: Use this skill when adding authentication, handling user input, working with secrets, creating API endpoints, or implementing payment/sensitive features. Provides comprehensive security checklist and patterns.
metadata:
  origin: ECC
---
```

首页: https://www.myskills.tools/zh/ · URL: https://www.myskills.tools/zh/skills/security-review/