catsofsuffering/ccsm/verify-security

Trust tier 3
  • community
Source check pending

Checking that the SKILL.md file is still in the repository.

安全校验关卡。自动扫描代码安全漏洞，检测危险模式，确保安全决策有文档记录。当用户提到安全扫描、漏洞检测、安全审计、代码安全、OWASP、注入检测、敏感信息泄露时使用。在新建模块、安全相关变更、攻防任务、重构完成时自动触发。

Install

npx vskill@latest install catsofsuffering/ccsm/verify-security

SKILL.md

⚖ 校验关卡 · 安全校验

核心原则

安全即道基，破则劫败
安全决策必须可追溯
Critical/High 问题必须修复后才能交付

自动扫描

运行安全扫描脚本（跨平台）：

bash
# 在 skill 目录下运行
node scripts/security_scanner.js <扫描路径>
node scripts/security_scanner.js <扫描路径> -v           # 详细模式
node scripts/security_scanner.js <扫描路径> --json       # JSON 输出
node scripts/security_scanner.js <扫描路径> --exclude vendor  # 排除目录

检测范围

自动检测的漏洞类型
类别检测项严重度
注入SQL 注入、命令注入、代码注入🔴 Critical
敏感信息硬编码密钥、AWS Key、私钥🔴 Critical
XSSinnerHTML、dangerouslySetInnerHTML🟠 High
反序列化pickle.loads、yaml.load🟠 High
路径遍历未验证的文件路径操作🟠 High
SSRF未验证的 URL 请求🟠 High
XXE不安全的 XML 解析🟠 High
弱加密MD5、SHA1 用于安全场景🟡 Medium
不安全随机random 模块用于安全场景🟡 Medium
调试代码console.log、print、debugger🔵 Low
文档层面检查

安全相关代码必须在 DESIGN.md 中记录：

  • [ ] 威胁模型 — 防御哪些攻击
  • [ ] 安全决策 — 为何选择此方案
  • [ ] 安全边界 — 信任边界在哪里
  • [ ] 已知风险 — 接受了哪些风险

危险模式速查

Python
python
# 🔴 危险 - 触犯道基
eval(), exec(), os.system()
subprocess(..., shell=True)
pickle.loads(), yaml.load()
cursor.execute(f"SELECT * FROM t WHERE id = {id}")
# ✅ 安全替代 - 道基稳固
ast.literal_eval()
subprocess([...], shell=False)
yaml.safe_load()
cursor.execute("SELECT * FROM t WHERE id = %s", (id,))
JavaScript
javascript
// 🔴 危险 - 触犯道基
eval(), innerHTML, document.write()
new Function(userInput)
// ✅ 安全替代 - 道基稳固
JSON.parse(), textContent
模板引擎自动转义
Go
go
// 🔴 危险 - 触犯道基
exec.Command("sh", "-c", userInput)
template.HTML(userInput)
 
// ✅ 安全替代 - 道基稳固
exec.Command("cmd", args...)
html/template 自动转义

校验流程

1. 运行 security_scanner.js 自动扫描
2. 分析扫描结果，按严重度排序
3. 检查安全决策是否有文档记录
4. 输出安全校验报告
5. Critical/High 问题必须修复后才能交付

自动触发时机

场景触发条件
新建模块模块创建完成时
安全相关变更涉及认证、授权、加密、输入处理
攻防任务红队/蓝队任务完成时
重构完成重构任务完成时
提交前代码提交前检查

校验报告格式

## 安全校验报告
 
✓ 通过 | ✗ 未通过
 
- 🔴 Critical: N
- 🟠 High: N
- 🟡 Medium: N
- 🔵 Low: N
 
### 发现问题
 
| 文件 | 行号 | 类型 | 严重度 | 描述 |
|------|------|------|--------|------|
| ... | ... | ... | ... | ... |
 
### 结论
 
可交付 / 需修复后交付

Security

  • Security scanPassed, 90 of 100Pattern checks on the skill's files.
  • Model reviewPassed

See the full security report

Quality evaluation

  • Task evaluationNot runNo evaluation yet. Run one in Skill Studio.

See evaluation results

Source

Popularity

7-day trend score
0

Not refreshed yet.

Works with

Any agent vskill installs to: 56 targets in all. These 39 have a page on this site.

  • Claude Code
  • Cursor
  • GitHub Copilot
  • Windsurf
  • Codex
  • Gemini CLI
  • Cline
  • Amp
  • Roo Code
  • Goose
  • Continue
  • Kilo Code
  • Junie
  • Trae
  • OpenHands
  • Qwen Code
  • AI Agent
  • Tabnine Chat
  • Sourcegraph Cody
  • Amazon Q
  • Firebase Genkit
  • Sweep
  • Devin
  • Phind
  • Mentat
  • Claude Desktop
  • Aider
  • GPT Pilot
  • Plandex
  • bolt.new
  • v0
  • Replit Agent
  • Anse
  • TypingMind
  • BetterChatGPT
  • LibreChat
  • Warp AI
  • Pieces
  • Fig AI
Embed badge
vskill VERIFIED badge
[![vskill VERIFIED](https://verified-skill.com/api/v1/skills/catsofsuffering/ccsm/verify-security/badge)](https://verified-skill.com/skills/catsofsuffering/ccsm/verify-security)

Something wrong with this skill or its page? Tell us.