security-audit

1# Security Audit Skill
2 
3全面的安全审计工具，覆盖代码静态分析(SAST)、依赖检查(SCA)和服务器配置审计。
4 
5## 授权与边界（先确认再动手）
6 
7- 只审计用户拥有或明确获得授权的代码/服务器；对第三方系统的扫描请求一律拒绝并说明原因
8- 本skill做**审计与建议**，不做主动攻击性测试（漏洞利用、爆破、DoS验证）
9- 发现硬编码凭证时只报告**位置与类型**，不在输出中回显完整明文
10- 除非用户明确要求，不直接修改业务代码；修复以建议形式给出
11 
12## 时效性规则（重要）
13 
14本文件**不维护具体CVE清单**。凡涉及"某版本是否有漏洞"的结论，必须现场查询：
15用 web search 查 `[框架/库名] CVE advisory [当前年份]`，或查官方 security advisory 页面。
16正文中出现的具体CVE（如 Log4Shell CVE-2021-44228）仅作为漏洞**类别**的历史案例，不代表当前威胁全貌。
17 
18## 工作流程
19 
20安全审计遵循以下步骤：
21 
221. **环境检测** → 识别项目类型和技术栈
232. **依赖检查** → 扫描第三方库漏洞（优先级最高）
243. **静态代码分析** → SAST扫描源代码漏洞
254. **敏感信息检测** → 扫描硬编码的密钥和凭证
265. **配置审计** → 检查安全相关配置
276. **生成报告** → 汇总发现并提供修复建议
28 
29## 快速开始
30 
31### 依赖安装
32 
33```bash
34# 安装核心Python扫描工具（优先用 venv/pipx，避免污染系统 Python）
35pipx install bandit semgrep || pip install safety bandit semgrep pip-audit
36 
37# 安装Node.js安全工具（如需要）
38npm install -g npm-audit-html retire
39```
40 
41### 一键全面扫描
42 
43运行综合扫描脚本：
44```bash
45python3 /path/to/skill/scripts/full_scan.py /path/to/project
46```
47 
48只需单项检查时用独立脚本：`scripts/dependency_check.py`（仅依赖漏洞）、`scripts/secrets_scan.py`（仅敏感信息/密钥，输出已对命中值脱敏）。
49 
50注意：`dependency_check.py` 内置的是**离线基线表**（会过时），命中结果标注 `source: offline-baseline`，必须用 pip-audit/npm audit 或官方 advisory 实时确认后才能下结论——与上文"不维护 CVE 清单"原则一致，基线表是预筛工具而非权威来源。
51 
52## 检测能力
53 
54### 1. 高危漏洞（Critical）
55 
56| 漏洞类型 | 历史案例 | 检测方式 |
57|---------|--------|---------|
58| 框架/依赖 RCE | Log4Shell (CVE-2021-44228) | 依赖版本检查 + 现场搜索最新 advisory |
59| SQL注入 | CWE-89 | SAST + 模式匹配 |
60| 命令注入 | CWE-78 | SAST + 模式匹配 |
61 
62框架级 RCE 层出不穷（React/Next.js 等生态近年多次爆出），检查依赖前先 web search 该框架当年的 CVE 列表。
63…