code-audit

Co robi i kiedy

Wspiera autoryzowany przegląd bezpieczeństwa kodu źródłowego i workflow SAST: Semgrep, wzorce CodeQL, wyszukiwanie niebezpiecznych wywołań API i weryfikacja poprawek.

Jak działa

1. ACTION REQUIRED（读完后立刻执行）
2. 适用场景
3. 工作流
4. 工具链
5. 参考
6. 路由上下文
7. 任务完成自检

---
name: code-audit
description: Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
---

# Source Code Security Audit

## ACTION REQUIRED（读完后立刻执行）

1. `NOW`: 读取 `../field-journal/precedent-pentest.md` 或代码审计授权
2. `NOW`: 确认有**源码/仓库访问**（无源码二进制 → 转 RE skill）
3. `NOW`: 明确语言栈与范围（目录/服务/PR diff）
4. `NEXT`: tool-index；semgrep 等
5. `ACT`: 威胁建模草图 → 自动扫描 → 人工验证

## 适用场景

- 白盒审计、PR/差分安全审查
- Semgrep / CodeQL / Bandit / gosec 等 SAST
- 危险 API、注入点、鉴权缺失、加密误用
- 与 `supply-chain-security/` 分工：本 skill 偏**自有代码逻辑**，供应链偏依赖与管道

## 工作流

### 1. 范围与威胁模型

```text
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
```

### 2. 自动扫描

```bash
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
```

### 3. 人工验证（MUST）

```text
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
```

### 4. 产出

```text
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号
```

## 工具链

| 工具 | 语言/场景 |
|------|-----------|
| Semgrep | 多语言快速规则 |
| CodeQL | 深数据流（GitHub） |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |

## 参考

- `references/sast-review-checklist.md`
- `../supply-chain-security/` `../api-security/` `../llm-security/`（Agent 代码）

## 路由上下文

**上游**: MASTER R26  
**角色**: `ops/role-map.md` cae  
**下游**: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools

## 任务完成自检

- [ ] 是否人工验证而非只贴扫描器输出？
- [ ] 是否含修复建议？
- [ ] 是否限定在授权仓库范围？
- [ ] Checklist？

Wersje

Identyczna treść występuje jeszcze w 3 innych folderach na GitHubie. Tu pokazujemy jedną, najlepiej ocenioną kopię.

Migawka bazy z 28.10.2026 · wersja paczki 06557466342a (skrót SHA-256 całej paczki)

Pobrania w ostatnich 30 dniach: 0 · ranking

Zgłoś problem z tym skillem: szkodliwa treść, błędny opis albo prośba autora o usunięcie.

Podobne skille

• 100sast-scanning
  Prowadzi statyczną analizę bezpieczeństwa kodu narzędziami Semgrep, CodeQL i SonarQube, by wykryć podatności przed wdrożeniem, w secure SDLC i bramkach CI/CD.
• 95sast-patterns
  Podaje wzorce statycznego testowania bezpieczeństwa aplikacji (SAST): listę kontrolną OWASP Top 10, wzorce podatności dla języków, pisanie reguł Semgrep i integrację z CI/CD.
• 100sast-tooling
  Uruchamia SAST przez bandit, semgrep, eslint-security i CodeQL, standaryzując wyniki w SARIF 2.1.0 i integrując je z pre-commit oraz CI.
• 100sast-configuration
  Konfiguruje skanowanie SAST w CI/CD: reguły Semgrep, narzędzia takie jak Bandit i ESLint, przegląd znalezisk oraz własne reguły bezpieczeństwa.
• 100sast-integration
  Prowadzi dodawanie, strojenie i triage SAST w repozytorium lub pipeline'ie przez Semgrep, CodeQL, SonarQube albo Bandit, z bramkami blokującymi merge.
• 95static-analysis
  Pomaga skonfigurować i ulepszyć analizę statyczną: sprawdzanie typów, linting, skanowanie SAST i formatowanie kodu narzędziami takimi jak ESLint, Ruff, Semgrep i CodeQL, z integracją w CI.