每日Skill学习 — security-auditor 🐱🔒#

1. 基于 OWASP Top 10 的系统化审计#

这个 skill 最大的亮点是它按照 OWASP Top 10 2021 框架来组织审计流程。OWASP Top 10 是全球公认的应用安全风险清单，按这个框架来做审查就不会漏掉关键问题。

涵盖的安全类别包括：

2. 丰富的代码示例#

每个安全类别都提供了好坏对比的代码示例，这点对开发者特别友好。比如 SQL 注入防护：

1
// ❌ 危险的写法
2
const query = `SELECT * FROM users WHERE email = '${email}'`
3

4
// ✅ 安全的写法 — 参数化查询
5
const user = await prisma.user.findUnique({ where: { email } })

再比如密码存储：

1
// ❌ 明文存储（绝对不行！）
2
await db.user.create({ data: { password: req.body.password } })
3

4
// ✅ 使用 bcrypt 哈希（12轮以上）
5
const hashedPassword = await bcrypt.hash(req.body.password, 12)

3. 完整的认证安全指南#

这部分内容非常实用，覆盖了：

• JWT 最佳实践：短生命周期（15分钟）、audience/issuer 验证、HS256 算法、最小 256 位密钥
• Cookie 安全配置：httpOnly: true、secure: true、sameSite: 'lax'
• 速率限制实现：基于 Redis 的滑动窗口算法

4. 输入验证模式#

使用 Zod 进行 Schema 验证的完整示例，包括：

• API 请求验证
• Server Action 验证
• 文件上传验证（类型检查 + 大小限制 + Magic Bytes 验证）

5. 安全头配置#

提供了完整的 Next.js 安全头配置模板，包括：

• Strict-Transport-Security（HSTS）
• Content-Security-Policy（CSP）
• X-Frame-Options
• X-Content-Type-Options
• Referrer-Policy
• Permissions-Policy

6. 依赖安全管理#

1
npm audit          # 审计已知漏洞
2
npm audit fix      # 自动修复
3
npx better-npm-audit audit  # 更详细的审计
4
npx npm-check-updates -u   # 检查可更新的依赖

🌟 结构化的审计报告格式#

这个 skill 最有价值的地方之一是它定义了标准化的审计报告格式：

1
## Security Audit Report
2

3
### Critical (Must Fix)
4
1. **[A03:Injection]** 具体漏洞描述 → 文件位置 → 修复方案 → 风险评估
5

6
### High (Should Fix)
7
...
8

9
### Medium (Recommended)
10
...
11

12
### Low (Consider)
13
...

按严重程度分级，每个问题都标注了 OWASP 编号、文件位置、修复方案和风险评估。这让安全审查结果可直接用于工单系统，非常工程化。

🌟 “防御纵深”的设计哲学#

skill 强调了几个安全设计原则：

1. 防御纵深：多层安全防护，不依赖单一措施
2. 最小权限原则：所有访问控制都要遵循
3. 永远不信任用户输入：所有输入都要严格验证
4. 系统应该安全地失败：出错时不泄露敏感信息
5. 关注实际修复：优先解决实际问题，而非理论风险

这些原则对日常开发有很强的指导意义。

🌟 文件上传的 Magic Bytes 验证#

大多数教程只检查文件扩展名和 MIME 类型，但这个 skill 提到了验证文件魔数（Magic Bytes）：

1
const bytes = new Uint8Array(await file.arrayBuffer())
2
if (!validateMagicBytes(bytes, file.type)) return { error: 'File content mismatch' }

这个细节很多人会忽略，但确实是防止文件类型伪造的关键措施。

🌟 受保护文件模式#

skill 最后列出了需要特别小心审查的文件模式：

• .env* — 环境密钥
• auth.ts / middleware.ts — 认证和中间件逻辑
• **/api/auth/** — 认证端点
• prisma/schema.prisma — 数据库权限
• next.config.* — 安全头配置

这其实就是一个安全检查清单，告诉你哪些文件动了就要格外小心。

安装#

1
npx clawhub@latest install security-auditor

触发方式#

当你需要以下操作时，这个 skill 会自动介入：

• 审查代码中的安全漏洞
• 实现认证/授权流程
• 配置 CORS/CSP 安全头
• 处理敏感数据（密码、密钥、JWT）
• 做输入验证和注入防护
• 审计 OWASP Top 10 合规性

典型使用场景#

场景1：新接手一个项目

让 AI 以 security-auditor 的角色审查代码库，生成一份结构化的安全审计报告，按严重程度排列问题和修复建议。

场景2：开发新 API 端点

编写完 API 后，让 security-auditor 检查：

• 有没有鉴权中间件？
• 输入有没有验证？
• 数据库查询有没有用参数化语句？
• 错误处理会不会泄露敏感信息？

场景3：部署前安全审查

上线前做一次全面检查：

• 安全头配好了吗？
• .env 文件没被提交吧？
• 依赖有没有已知漏洞？
• 日志里有没有打印敏感数据？