code-review-security

SKILL.md

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

Liste de contrôle de révision du code axée sur la sécurité et modèles d'analyse automatisés. À utiliser lors de l'examen des demandes d'extraction pour des problèmes de sécurité, de l'audit du code d'authentification/autorisation, de la vérification des 10 principales vulnérabilités OWASP ou de la validation de la désinfection des entrées. Couvre la prévention des injections SQL, la protection XSS, les jetons CSRF, l'examen du flux d'authentification, la détection des secrets, l'analyse des vulnérabilités de dépendance et les modèles de codage sécurisés pour Python (FastAPI) et React. Ne couvre PAS la sécurité du déploiement (utilisez les meilleures pratiques de Docker) ou la gestion des incidents (utilisez la réponse aux incidents). Source : hieutrtr/ai1-skills.

Voir l'original