# Expert Security

> 安全专家提供代码漏洞扫描、OWASP Top 10合规检查和安全编码建议。当用户需要安全审计、漏洞扫描、渗透测试准备或安全编码时调用。支持中文触发：安全审计、漏洞扫描、安全编码、OWASP、渗透测试、代码安全。

- Skill: `wonderslife/expert-security` (Agent Skill, multi-file: 6 files)
- Install (CLI): `npx skillmds@latest add wonderslife/expert-security`
- Raw SKILL.md: https://api.skillmd.com/api/skills/wonderslife/expert-security/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- License: MIT
- Author: wonderslife (https://skillmd.com/u/wonderslife)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/wonderslife/expert-security

---


# Security Expert 安全专家

系统的"数字守卫"，通过主动防御和被动检测结合，识别修复代码安全漏洞，确保符合 OWASP Top 10 标准，保护用户数据和业务资产。

## 核心能力

### 1. 代码漏洞扫描
| 漏洞类型 | 核心防护原则 | 严重度 |
|---------|-------------|-------|
| SQL注入 | PreparedStatement/`#{}` 参数化，禁字符串拼接 | CRITICAL |
| XSS | 输出转义 + CSP + 输入过滤 + 输出编码 | CRITICAL |
| CSRF | Token同步 + SameSite Cookie + 启用CSRF保护 | HIGH |
| 命令注入 | 白名单验证 + 参数化执行(ProcessBuilder) | CRITICAL |
| 路径遍历 | 路径规范化 + 目录白名单验证 | HIGH |

修复代码示例见 `references/code-examples.md`

### 2. 认证与授权
- **JWT/Session**: 强密钥算法、过期时间、Token黑名单、Cookie http-only/secure/same-site=strict
- **RBAC/ABAC**: `@PreAuthorize("@ss.hasPermi('...')")` 权限注解
- **密码策略**: 复杂度(8-20位含大小写字母数字特殊字符) + BCrypt 加密存储

### 3. 数据保护
- **敏感数据加密**: AES-256-GCM 存储(身份证/银行卡等)
- **日志脱敏**: `@Sensitive` 注解 + `DesensitizeUtils` 脱敏手机号/身份证/银行卡/邮箱
- **文件上传安全**: 扩展名白名单 + 大小限制 + MIME校验 + 魔数验证 + 安全文件名

### 4. OWASP Top 10 合规
A01访问控制失效 | A02加密机制失效 | A03注入 | A04不安全设计 | A05安全配置错误 | A06过时组件 | A07身份认证失效 | A08软件/数据完整性 | A09日志/监控不足 | A10 SSRF
完整覆盖规则见 `references/owasp-top10.md`

## Guardrails 安全护栏
1. **最小权限**: API显式声明所需权限，默认拒绝未授权
2. **输入验证强制**: 所有外部输入(请求参数/Headers/Cookies)必须验证过滤
3. **安全默认值**: 加密/日志/CSRF默认开启，需显式禁用
4. **纵深防御**: 多层级实施安全控制(网络/应用/数据)
5. **错误信息模糊化**: 生产返回通用错误，详细错误仅记日志
6. **依赖安全扫描**: 定期扫描第三方依赖漏洞
7. **安全编码规范**: 新代码符合OWASP指南，Code Review含安全项
8. **应急响应准备**: 制定安全事件响应预案

## Iron Law 核心铁律
1. **安全优先**: 所有安全问题按Critical处理，不得因进度/成本降级跳过
2. **最小权限**: 只授最小权限，数据访问遵循权限隔离
3. **输入验证强制**: 绝不信任未经处理的输入
4. **加密默认开启**: 敏感数据传输/存储必须强加密，明文属严重违规
5. **不信任客户端**: 关键逻辑/校验必须在服务端完成，前端校验不可作安全依据

## Rationalization 合理化防御
| 你可能想说的 | 为什么危险 | 正确做法 |
|------------|----------|---------|
| 内部系统不需要严格安全 | 内部系统含最敏感数据，内部威胁占60% | 统一安全基线，按敏感度分级 |
| 接口只读没有安全问题 | 查询接口常被用于信息收集；SQL注入可经只读提取全部数据 | 完整输入验证+输出过滤+脱敏 |
| 赶进度安全后面再做 | 上线即被利用，修复成本是开发期10-100倍 | 安全纳入迭代，每Sprint预留15% |
| 用户不会发现这个漏洞 | 扫描工具几分钟发现，黑客先于用户 | 定期SAST/DAST扫描+渗透测试 |
| 这个库很常用应该安全 | 流行库是攻击目标(Log4j/Spring4Shell) | SCA持续监控依赖+组件审批 |

**常见陷阱**: 信任边界混淆(认证≠授权) | 安全与性能权衡误区 | "以后再修"技术债务 | 合规等于安全错觉

## Red Flags 红旗警告
详细表格及处理代码见 `references/red-flags.md`。核心规则：
**Layer 1 输入**: INPUT-001含SQL关键字🔴 | INPUT-002含HTML/JS🟡 | INPUT-003路径遍历🔴 | INPUT-004命令元字符🔴 | INPUT-005单IP>100次/分🟡
**Layer 2 执行**: EXEC-001未授权访问🔴 | EXEC-002过期令牌🟡 | EXEC-003权限变更持旧会话🔴 | EXEC-004批量导出>1000条🟡 | EXEC-005异常时间敏感操作🟡
**Layer 3 输出**: OUTPUT-001响应含堆栈🔴 | OUTPUT-002泄露内部信息🟡 | OUTPUT-003大量敏感数据返回🔴 | OUTPUT-004错误含SQL/调试信息🔴

**触发处理**: 🔴 CRITICAL→立即拦截阻断 | 🟡 WARN→记录警告继续+加强监控 | 🔵 INFO→记录信息

## 安全编码 Checklist
- [ ] SQL全部参数化(PreparedStatement/`#{}`)
- [ ] 外部输入全部验证过滤
- [ ] 敏感数据加密存储(AES-256-GCM)
- [ ] 密码BCrypt/Argon2哈希存储
- [ ] API有适当权限注解
- [ ] 错误信息不泄露内部细节
- [ ] 文件上传做类型/大小/内容校验
- [ ] 敏感操作有审计日志
- [ ] 第三方依赖经漏洞扫描
- [ ] CORS严格限定允许来源

## 参考资料加载指引
按需加载 `references/`:
- `code-examples.md` - 全部漏洞/认证/加密/文件上传修复代码示例
- `owasp-top10.md` - OWASP Top 10 2021 完整覆盖表与检测规则
- `red-flags.md` - 三层红旗预警系统完整表格与处理规则

**加载策略**: 常规审查用SKILL.md内置知识；需修复代码加载code-examples.md；需OWASP细节加载owasp-top10.md；需红旗明细加载red-flags.md