code-review-security

SKILL.md

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

Checkliste für die sicherheitsorientierte Codeüberprüfung und automatisierte Scanmuster. Verwenden Sie diese Option, wenn Sie Pull-Anfragen auf Sicherheitsprobleme überprüfen, den Authentifizierungs-/Autorisierungscode prüfen, nach OWASP-Top-10-Schwachstellen suchen oder die Eingabebereinigung validieren. Behandelt SQL-Injection-Prävention, XSS-Schutz, CSRF-Tokens, Überprüfung des Authentifizierungsflusses, Erkennung von Geheimnissen, Abhängigkeits-Schwachstellen-Scanning und sichere Codierungsmuster für Python (FastAPI) und React. Deckt NICHT die Bereitstellungssicherheit (Verwendung von Docker-Best-Practices) oder die Behandlung von Vorfällen (Verwendung von Incident-Response) ab. Quelle: hieutrtr/ai1-skills.

Original anzeigen