security-auditor — OWASP 标准安全审计

security-auditor 快速入门

一键让 AI 扮演安全审计员,按 OWASP Top 10 全方位扫描代码,Critical 级问题一条都跑不掉。

这是什么?解决什么问题?

“安全审计”听起来很高大上,但本质上是个”对照清单逐项打勾”的工作——OWASP Top 10 已经是行业共识:

• A01 访问控制失效
  
• A02 加密失败
  
• A03 注入(SQL / NoSQL / 命令)
  
• A04 不安全设计
  
• A05 安全配置错误
  
• A06 危险/过时组件
  
• A07 身份/认证失败
  
• A08 软件/数据完整性失败
  
• A09 日志/监控失败
  
• A10 SSRF
  security-auditor Skill(alirezarezvani/claude-skills 仓库,17.9K★)把 OWASP Top 10 拆成 AI 可逐项执行的检查流程,并按严重程度把发现的问题分三级输出:
  
• Critical:必须立刻修(密钥泄露、SQL 注入、远程命令执行)
  
• Warning:应当修(XSS 风险、CSRF 缺失、错误信息泄露)
  
• Suggestion:建议修(安全头缺失、CSP 配置、注释里的 TODO)
  输出格式很工程化:每条问题包含 文件:行号、风险描述、复现 PoC、修复建议、参考链接,可以直接转 Jira/Linear 工单。
  适合:写新项目的全栈工程师、开源项目维护者、企业内部要做”上线前安全门”。
  

准备工作

• 一个支持 SKILL.md 的 agent
  
• 一个代码仓库(任意语言,Skill 覆盖 JS/TS/Python/Go/Java 主流)
  
• 5-10 分钟
  
• 推荐先把 git diff main..HEAD 准备好,这样 Skill 知道审计”这次 PR”,效率高很多
  

3 步快速上手

第 1 步:克隆并软链

git clone https://github.com/alirezarezvani/claude-skills.git<br>
ln -sf "$(pwd)/claude-skills/skills/security-auditor" \<br>
~/.claude/skills/security-auditor<br>
```<br>
OpenCode 用户把目标路径改为 `~/.config/opencode/skills/`,Cursor 用户改为 `~/.cursor/skills/`。<br>
### 第 2 步:确认 Skill 加载<br>
```bash<br>
cat ~/.claude/skills/security-auditor/SKILL.md | head -30<br>
```<br>
可以看到 A01-A10 的检查项、Critical/Warning/Suggestion 等级定义。重启 agent,`/skills list` 看到 `security-auditor` 即 OK。<br>
### 第 3 步:跑首次安全审计<br>
在 agent 对话里说:<br>
```<br>
[开 security-auditor]<br>
请审计我这次 PR 的所有改动(对比 main 分支),<br>
按 Critical/Warning/Suggestion 三级输出。<br>
```<br>
观察 AI 行为:<br>
- 它会先 `git diff main..HEAD` 拿到改动文件清单;<br>
- 对每个文件,按 OWASP Top 10 逐项检查;<br>
- 输出类似:<br>
```<br>
[A03 注入 - Critical] src/api/user.py:42<br>
风险:SQL 字符串拼接,f"SELECT * FROM user WHERE id = {uid}"<br>
PoC:访问 /api/user?id=1' OR '1'='1 可获取全表<br>
修复:改用参数化查询 db.execute("SELECT ... WHERE id = ?", (uid,))<br>
参考:https://owasp.org/Top10/A03_2021-Injection/<br>
```<br>
- 最后给一份"总评 + 修复优先级"清单。<br>
## 常见踩坑<br>
1. **只跑"全仓扫描"不看上下文**:全仓扫描噪声大,建议**只审 PR 改动**;`security-auditor` 支持两种模式,默认是 PR-only。<br>
2. **误报太多失去信任**:AI 报 Warning 100 条,看起来"狼来了",**Critical 优先看,Warning 抽样处理**。<br>
3. **不验证 PoC 就修**:AI 给的 PoC 是构造的,真要打补丁前自己手动复现一下,避免改错。<br>
4. **漏掉前端**:很多人只审后端,前端 XSS / CSRF / Open Redirect 同样高危,明确告诉 AI "审计范围包括前端代码"。<br>
5. **审计 secret 误报**:`process.env` 读环境变量是对的,Skill 会识别;**真把 API Key 硬编码在源码里才是 Critical**。<br>
6. **审计完不写测试**:Critical 修完后,必须加自动化测试(回归用例),否则下次 refactor 又会带回来。<br>
## 初级用法<br>
- **PR 安全门**:每次 PR 触发一个 CI 任务,跑 `security-auditor`,有 Critical 直接 fail 合并。<br>
- **依赖审计**:在 Skill 输出基础上,加 `npm audit` / `pip-audit` / `go mod tidy`,覆盖"危险/过时组件"。<br>
## 高级玩法<br>
- **配合 SAST 工具**:把 Skill 和 Semgrep、CodeQL、Snyk 串联,Skill 做语义/上下文判断,SAST 做模式匹配,两者互补。<br>
- **自动化工单**:Critical 级问题通过 MCP 直接创建 Linear/Jira 工单,@ 相关 owner 跟进。<br>
- **季度红蓝对抗**:把 Skill 报的"Warning 级别但不易修"问题攒起来,作为季度红蓝演练的输入。<br>
## 小技巧<br>
- 跑审计前先 `npm run lint && npm test` 把基础错误修掉,让 AI 专注于"安全"而不是"语法"。<br>
- Critical 修完再做"安全回归":让 Skill 重新跑一次,确认真修好而不是换个地方漏。<br>
- 审计报告要存档,合规审计、客户审厂、ISO 27001 都要这套证据。<br>
- 给 AI 提示"如果是 false positive 请标注",可以减少 30% 噪声。<br>
- 配合 `git secrets` 在 commit 阶段就拦截明文密钥,Skill 只做兜底审计。<br>
## 参考链接<br>
- [仓库主页](https://github.com/alirezarezvani/claude-skills)<br>
- [OWASP Top 10](https://owasp.org/Top10/)<br>
- [Semgrep](https://semgrep.dev/)<br>
- [CodeQL](https://codeql.github.com/)<br>
- [Snyk](https://snyk.io/)<br>
- 相关 Skill:deprecation-and-migration、tdd