code-review-security

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

Elenco di controllo per la revisione del codice incentrato sulla sicurezza e modelli di scansione automatizzati. Da utilizzare durante la revisione delle richieste pull per problemi di sicurezza, il controllo del codice di autenticazione/autorizzazione, il controllo delle 10 principali vulnerabilità OWASP o la convalida della sanificazione dell'input. Copre la prevenzione dell'iniezione SQL, la protezione XSS, i token CSRF, la revisione del flusso di autenticazione, il rilevamento dei segreti, la scansione delle vulnerabilità delle dipendenze e modelli di codifica sicuri per Python (FastAPI) e React. NON copre la sicurezza della distribuzione (utilizzare le migliori pratiche docker) o la gestione degli incidenti (utilizzare la risposta agli incidenti). Fonte: hieutrtr/ai1-skills.