antgroup 安全代码生成规范
技能概述
本技能的目标是：在代码生成阶段消除安全漏洞，而非依赖事后审查。
当用户需要编写、重构或修改 JavaScript/TypeScript 代码时，必须先完成威胁识别和规范查阅，再生成代码。禁止跳过安全分析步骤。
触发条件
满足以下任意一条时，必须激活本技能：
- 编写、重构或修改 JavaScript/TypeScript 代码。
工作流程
必须严格按顺序执行以下三步，不得跳过任何步骤。
第一步：识别安全风险
逐条分析用户需求，对照下表判断哪些风险类型适用于当前场景。每一个适用的风险类型都必须处理，不得遗漏。
| 风险类型 | 典型场景 | 对应参考文档 |
|---|---|---|
| Query Language 注入 | 拼接 SQL/HQL/NoSQL 查询语句；使用用户输入构造查询条件 | references/prevent-ql-injection.md |
| OS 命令注入 | 调用 child_process.exec、execSync、spawn 等执行系统命令时，命令字符串或参数包含用户输入 |
references/prevent-os-command-execution.md |
| 代码注入 | 使用 eval、new Function、setTimeout(string) 执行非字面量字符串；使用非字面量路径动态 require()；可能导致 RCE 或任意文件读取 |
references/prevent-code-injection.md |
| 原型链污染 | 对对象进行递归合并、深拷贝、属性赋值时，键名来自用户输入（如 __proto__、constructor、prototype） |
references/prevent-prototype-pollution.md |
| XSS（跨站脚本） | 将用户输入直接插入 DOM（innerHTML、document.write、dangerouslySetInnerHTML）；在服务端渲染时未转义输出到 HTML 模板 |
references/prevent-xss.md |
| 路径遍历 | 文件读取/写入/下载，路径由用户输入拼接（如 path.join(baseDir, userInput)），可能跨越根目录访问任意文件 |
references/prevent-path-traversal.md |
| SSRF（服务端请求伪造） | 服务端发起 HTTP 请求时，目标 URL 或主机名由用户输入控制，可能访问内网服务或云元数据接口 | references/prevent-ssrf.md |
| 不安全反序列化 | 使用 node-serialize、serialize-javascript 等库反序列化用户提供的数据，可能导致任意代码执行 |
references/prevent-deserialization.md |
| 弱随机数 | 使用 Math.random() 或 crypto.pseudoRandomBytes() 生成 session ID、token、nonce、密钥等安全敏感值 |
references/prevent-weak-random.md |
| PostMessage Origin 校验缺失 | 使用 window.addEventListener('message', ...) 接收跨窗口消息时未校验 event.origin；发送消息时使用通配符 '*' |
references/prevent-postmessage-origin.md |
| 时序攻击 | 使用 ===、!== 比较 HMAC 签名、API Key、session token、密码重置 token 等安全敏感字符串 |
references/prevent-timing-attack.md |
| ReDoS（正则表达式拒绝服务） | 使用 new RegExp(userInput) 构造动态正则；正则模式包含嵌套量词（(a+)+）或重叠交替（(a|aa)+），可导致灾难性回溯阻塞事件循环 |
references/prevent-redos.md |
| Buffer 安全问题 | 使用已废弃的 new Buffer(size)（内存未初始化）；Buffer.allocUnsafe() 结果未立即填充；Buffer 读写方法传入 noAssert=true 跳过边界检查 |
references/prevent-buffer-issues.md |
| 不安全传输 | 通过 HTTP（非 HTTPS）加载外部脚本/样式；服务端使用 http 模块请求外部 API；动态 URL 未校验协议 |
references/prevent-insecure-transport.md |
| 硬编码凭证 | API Key、密码、JWT 密钥、私钥等敏感信息直接写入源代码或被 Git 追踪的配置文件 | references/prevent-hardcoded-secrets.md |
第二步：查阅安全编码规范
对第一步中每一个识别出的风险类型，必须读取对应的参考文档，理解该类漏洞的根因、防范模式和安全 API 用法，然后再进入第三步。
第三步：完成用户需求
在完整理解安全规范后，按以下原则，完成用户需求：
- 默认安全：优先使用参数化查询、白名单校验、安全 API 等内置防护机制，而非在危险写法上叠加过滤
- 零信任输入：所有来自 HTTP 请求、外部接口、URL 参数的数据，一律视为不可信，必须在使用前完成校验或转义处理
- 失败安全：权限校验或输入验证失败时，默认拒绝操作并返回明确的错误响应，不得静默放行
- 运行时验证：TypeScript 类型检查仅在编译期生效，对外部输入必须使用运行时 schema 验证（如
zod、class-validator） - 原型隔离：处理来自外部的 JSON 对象时，使用
Object.create(null)或冻结原型，防止原型链污染 - 最小权限：文件操作、子进程调用、网络请求，遵循最小权限原则，明确限定允许的范围（路径前缀、命令白名单、域名白名单）