code-review-security

SKILL.md

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

セキュリティに重点を置いたコード レビュー チェックリストと自動スキャン パターン。セキュリティ問題のプル リクエストのレビュー、認証/認可コードの監査、OWASP トップ 10 脆弱性のチェック、または入力サニタイゼーションの検証を行う場合に使用します。 SQL インジェクション防止、XSS 保護、CSRF トークン、認証フローのレビュー、シークレット検出、依存関係の脆弱性スキャン、Python (FastAPI) と React の安全なコーディング パターンをカバーします。デプロイメントのセキュリティ (docker-best-practice を使用) やインシデント処理 (インシデント対応の使用) についてはカバーしません。 ソース: hieutrtr/ai1-skills。

原文を見る