技能包广场

安全秘密

@security-secrets

@weak-encryption-anti-pattern

用于检测代码库中秘密的高信号正则表达式模式。

Convex 应用程序的安全审核模式涵盖身份验证、授权、输入验证和 Convex 特定的漏洞。

Bun 运行时应用程序的安全审核模式涵盖 shell 注入、SQL 注入、服务器安全和 Bun 特定的漏洞。

集成 AI 提供商的应用程序中 AI API 密钥泄漏的安全审核模式。

该技能为创建高质量的产品需求文档 (PRD) 提供全面的指导，其中包括：

暂无简介

严重性：高

@verifiable-token-based-authentication-pattern

使用令牌对主体进行身份验证，令牌本身包含确定主体所需的信息。系统验证令牌是否有效（未篡改、未过期），无需查找存储的证据。

@unicode-security-anti-pattern

Unicode 安全反模式

严重程度：中

@selective-encrypted-transmission-pattern

实体在通过不受控制的通道传输特定敏感数据元素之前主动对其进行加密。实体直接与加密库交互以仅加密必要的部分。

@password-based-authentication-pattern

基于密码的身份验证模式

主体通过提供正确的标识符（用户名/电子邮件）和相应的密码来证明身份。依赖于只有实际所有者知道正确密码的假设。

@opaque-token-based-authentication-pattern

基于不透明令牌的身份验证模式

主体根据操作请求提供的唯一的、不透明的令牌进行身份验证。系统维护有效令牌到主体的映射。令牌保密至关重要，因为它是唯一的身份证明。

@oauth-security-anti-pattern

Oauth 安全反模式

严重性：高

@missing-security-headers-anti-pattern

严重程度：中

@missing-authentication-anti-pattern

严重性：严重

@message-authentication-code-pattern

此模式封装了使用消息身份验证代码 (MAC) 来确保消息完整性并验证提供者身份的常见注意事项。

Jwt 滥用反模式

@jwt-misuse-anti-pattern

严重性：高

加密消息（数据元素和/或操作请求）以确保其对于不拥有正确解密密钥的实体的机密性。

@encrypted-tunnel-pattern

加密隧道模式

实体建立一个通信通道，其中所有交换都被加密。通道基础设施透明地处理加密。常见实现：TLS 和 SSH。

内容安全政策

@content-security-policy

分析 CSP 标头并生成带有修复指导的安全结果。