code-review-security

SKILL.md

Review every PR against the OWASP Top 10 (2021 edition). Each category below includes specific checks for Python/FastAPI and React codebases.

| eval(userinput) | Remote code execution | Remove or use ast.literaleval | | pickle.loads(data) | Arbitrary code execution | Use JSON or msgpack | | subprocess.run(cmd, shell=True) | Command injection | Pass args as list, shell=False | | yaml.load(data) | Code execution | Use yaml.safeload(data) |

| os.system(cmd) | Command injection | Use subprocess.run([...]) | | Raw SQL strings | SQL injection | Use ORM or parameterized queries | | hashlib.md5(password) | Weak hashing | Use bcrypt via passlib | | jwt.decode(token, options={"verifysignature": False}) | Auth bypass | Always verify signature |

보안 중심의 코드 검토 체크리스트 및 자동화된 스캔 패턴. 보안 문제에 대한 풀 요청 검토, 인증/권한 부여 코드 감사, OWASP 상위 10개 취약점 확인 또는 입력 삭제 유효성 검사 시 사용합니다. SQL 주입 방지, XSS 보호, CSRF 토큰, 인증 흐름 검토, 비밀 감지, 종속성 취약성 검색, Python(FastAPI) 및 React에 대한 보안 코딩 패턴을 다룹니다. 배포 보안(docker 모범 사례 사용) 또는 사고 처리(사고 대응 사용)는 다루지 않습니다. 출처: hieutrtr/ai1-skills.

원본 보기