security-and-hardeningcommit d051d88SKILL.md · 安全加固
安全与加固
从威胁建模出发，为 Web 应用加固输入、认证、会话、依赖、隐私和 LLM 功能等环节。
npx skills add addyosmani/agent-skills --skill security-and-hardening已选中命令，请手动复制。
- 权限
- read-repo
- write-files
- shell
- network
- 兼容工具
- Claude Code, Codex, Cursor, Copilot, Gemini CLI
- GitHub
- 112.3k
- 来源
- 社区 · Addy Osmani
- 状态
- 扫描通过
- 许可证
- MIT
- 分类
- 安全加固
核心规则
所有外部输入都视为恶意，所有密钥都严加保护，每次授权检查都不可省略。
执行阶段
阶段 01先做威胁建模
梳理信任边界（包括 LLM 输出），列出关键资产，对每条边界过一遍 STRIDE，并把滥用场景写成第一批测试。
阶段 02三级边界规则
必做：校验输入、参数化查询、输出编码、HTTPS 等；需先确认：改认证逻辑、新增 PII、改 CORS 等；禁止：提交密钥、记录敏感数据等。
阶段 03实施加固控制
参照 hardening-patterns.md 处理注入与 XSS、访问控制、会话 Cookie、安全头与 CORS、上传校验、SSRF、限流和密钥管理。
阶段 04依赖与隐私
针对已提交的锁文件运行原生 audit，拦截依赖安装脚本；对个人数据分类、最小化收集，并设定保留期和删除路径。
阶段 05清单验证
签收前对照 security-checklist.md 和验证清单逐项检查。
权限说明（据 SKILL.md 整理）
| 能力 | 是否需要 | 说明 |
|---|---|---|
| 文件写入 | 需要 | 编写或修改安全相关代码、配置以及 .env.example 等文件。 |
| 命令执行 | 需要 | 运行包管理器原生 audit 和测试，并在提交前 grep 暂存差异以检查密钥。 |
| 网络外发 | 部分需要 | 仅在运行依赖 audit 和签名校验时访问软件包注册表。 |
SKILL.md 头部信息（YAML）
---
name: security-and-hardening
description: Hardens code against vulnerabilities. Use when auditing an input handler for vulnerabilities, when handling user input, authentication, data storage, or external integrations, or when checking a login flow is safe against the OWASP Top Ten. Use when building any feature that accepts untrusted data, manages user sessions or session cookies, or interacts with third-party services. Use when auditing dependencies for known vulnerabilities, triaging package-manager audit findings, or assessing supply-chain risk in a new package. Use when personal data or privacy compliance (GDPR, CCPA) is involved.
---相关技能
规则扫描无法覆盖所有风险，安装前请阅读此技能的 SKILL.md，确认权限后再使用。