code-review-security

SKILL.md

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

Lista de verificación de revisión de código centrada en la seguridad y patrones de escaneo automatizados. Úselo al revisar solicitudes de extracción para problemas de seguridad, auditar el código de autenticación/autorización, verificar las 10 vulnerabilidades principales de OWASP o validar la desinfección de entradas. Cubre la prevención de inyección SQL, protección XSS, tokens CSRF, revisión del flujo de autenticación, detección de secretos, escaneo de vulnerabilidades de dependencia y patrones de codificación segura para Python (FastAPI) y React. NO cubre la seguridad de la implementación (use las mejores prácticas de Docker) ni el manejo de incidentes (use la respuesta a incidentes). Fuente: hieutrtr/ai1-skills.

Ver original