SKILLEMALL.ai
GitHub ↗ EN Войти

BD secure-code-review

Систематически проверяет код на наличие SQL-инъекций, XSS, SSRF, нарушений контроля доступа, криптографических сбоев и других распространенных уязвимостей из списка OWASP Top 10, предоставляя примеры уязвимого кода и готовые рекомендации по их устранению. Активируйте этот навык, когда пользователи запрашивают проверку безопасности, сканирование уязвимостей или помощь в тестировании на проникновение, или упоминают ключевые слова вроде OWASP, SQL-инъекция, XSS, аудит кода или чек-лист безопасности.

машинный переводПоказать оригиналСкрыть оригинал«Systematically reviews code for SQL injection, XSS, SSRF, broken acces…»

Systematically reviews code for SQL injection, XSS, SSRF, broken access control, cryptographic failures, and other common OWASP Top 10 vulnerabilities, providing vulnerable code examples and ready-to-use remediation guidance. Trigger this skill when users ask for a security review, vulnerability scan, or penetration testing assistance, or mention keywords like OWASP, SQL injection, XSS, code audit, or security checklist.

zebbern/claude-code-guide Agent Skills автор: zebbern 2 файла тело ≈ 4 616 токенов Открыть источникgithub.com↗ проанализирован 5 дн назад

Систематически проверяет код на наличие SQL-инъекций, XSS, SSRF, нарушений контроля доступа, криптографических сбоев и других распространенных уязвимостей из…

Как процесс D 38/100 · Процесс не доведён — слабые места: результат и критерий готовности, когда включается, входы и предусловия

АнализаторБезопасностьРазработкатип и темы размечены автоматически по тексту скилла
Запускается в: Claude / Claude Code ChatGPT / Codex Gemini CLI Cursor GitHub Copilot / VS Code Qwen Code Kimi Code CLI Z.ai (GLM) DeepSeek (Deep Code) Mistral Vibe LangChain (deepagents) OpenClaw Goose OpenCode
JSON
Технический рейтинг
B
92/100
безопасность, качество, тесты
Безопасность 60%
97
Качество 40%
85
Прогон на моделях
не было
Процессный рейтинг
D
38/100
Процесс не доведён
Результат и критерий готовности вес 14
0
Входы и предусловия вес 11
0
Ошибки и развилки вес 10
0
три самых слабых из десяти параметров · все десять

Как улучшить

    Для прогона на моделях — необязательно
    • Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
    • spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.

    Находки guard · 3

    ✓ Критических и высоких находок нет

    Средние и низкие: 3
    • низкая Рискованное назначение intent-offensive-security SKILL.md:3
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
      description: "Systematically reviews code for SQL injection, XSS, SSRF, broken access control, cryptographic failures, and other common OWASP Top 10 vulnerabilities, providing vulnerable code examples
      детектор
    • низкая Опасные команды cmd-eval-dynamic SKILL.md:174
      Динамическое выполнение кода из декодированного/недоверенного ввода (документация security-скилла)
      os.system(f"ping -c 4 {host}")
      security-скилл
    • низкая Рискованное назначение intent-offensive-security SKILL.md:571
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
      > **Note:** This checklist is a supplementary review tool and does not replace professional penetration testing. For high-security systems, combine automated scanning + manual code audit + penetration

    Просканировано файлов: 2. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.

    По спецификации Agent Skills

    • заметка edit-residue в тексте есть пометки об устаревшем (строки 92): проверьте, не остались ли старые правила рядом с новыми — полная проверка читает текст на противоречия

    Процессный рейтинг: все десять параметров 38/100

    • 0Результат и критерий готовности. Не сказано, что считать результатом
    • 0Входы и предусловия. Не сказано, что нужно иметь на входе
    • 0Ошибки и развилки. Линейный процесс без обработки сбоев
    • 20Когда включается. Не сказано, при каком запросе скилл включается
    • 30Повторный запуск. Изменяющих операций: 2, без проверки текущего состояния
    • 60Инструменты и файлы. Используются инструменты (bash, web, python), но во frontmatter они не объявлены
    • 60Шаги. Шагов: 63, расплывчатых формулировок: 5
    • 70Стоимость исполнения. Тело инструкции 4616 токенов
    • 100Согласованность. Имя и обязательные поля на месте
    • 100Отчётность по ходу. Скилл сообщает о ходе работы
    • low Разделов верхнего уровня: 15. Похоже на несколько доменов в одном скилле

    Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.

    Сигналы качества

    • +5В description нет примеров фраз, по которым скилл должен срабатывать
    • +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
    • +3Формат ответа не описан: модель каждый раз решает сама
    • +2Инструкции на одном языке
    • +3Длина description 424 символов: достаточно сигнала, не съедает бюджет
    • +4Структура: 38 заголовков
    • +3Пошаговые инструкции: 63 пунктов
    • +4Есть примеры (23 блоков кода)
    • +1Лицензия указана

    База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 85.