名称: 安全审查描述: 在添加身份验证、处理用户输入、处理机密信息、创建API端点或实现支付/敏感功能时使用此技能。提供全面的安全检查清单和模式。作者: affaan-m 版本: “1.0”

安全审查技能

此技能确保所有代码遵循安全最佳实践并识别潜在漏洞。

何时激活

实现身份验证或授权
处理用户输入或文件上传
创建新的API端点
处理秘密或凭据
实现支付功能
存储或传输敏感数据
集成第三方API

安全检查清单

1. 秘密管理

❌ 绝不要这样做

const apiKey = "sk-proj-xxxxx"  // 硬编码的秘密
const dbPassword = "password123" // 在源代码中

✅ 总是这样做

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// 验证秘密是否存在
if (!apiKey) {
  throw new Error('OPENAI_API_KEY未配置')
}

验证步骤

[ ] 无硬编码的API密钥、令牌或密码
[ ] 所有秘密存储在环境变量中
[ ] .env.local在.gitignore中
[ ] 无秘密在git历史中
[ ] 生产秘密在托管平台（Vercel, Railway）中

2. 输入验证

总是验证用户输入

import { z } from 'zod'

// 定义验证模式
const CreateUserSchema = z.object({
  email: z.string().email(),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
})

// 在处理前验证
export async function createUser(input: unknown) {
  try {
    const validated = CreateUserSchema.parse(input)
    return await db.users.create(validated)
  } catch (error) {
    if (error instanceof z.ZodError) {
      return { success: false, errors: error.errors }
    }
    throw error
  }
}

文件上传验证

function validateFileUpload(file: File) {
  // 大小检查（最大5MB）
  const maxSize = 5 * 1024 * 1024
  if (file.size > maxSize) {
    throw new Error('文件太大（最大5MB）')
  }

  // 类型检查
  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif']
  if (!allowedTypes.includes(file.type)) {
    throw new Error('无效的文件类型')
  }

  // 扩展名检查
  const allowedExtensions = ['.jpg', '.jpeg', '.png', '.gif']
  const extension = file.name.toLowerCase().match(/\.[^.]+$/)?.[0]
  if (!extension || !allowedExtensions.includes(extension)) {
    throw new Error('无效的文件扩展名')
  }

  return true
}

验证步骤

[ ] 所有用户输入使用模式验证
[ ] 文件上传受限（大小、类型、扩展名）
[ ] 无直接在查询中使用用户输入
[ ] 白名单验证（非黑名单）
[ ] 错误消息不泄露敏感信息

3. SQL注入预防

❌ 绝不要拼接SQL

// 危险 - SQL注入漏洞
const query = `SELECT * FROM users WHERE email = '${userEmail}'`
await db.query(query)

✅ 总是使用参数化查询

// 安全 - 参数化查询
const { data } = await supabase
  .from('users')
  .select('*')
  .eq('email', userEmail)

// 或使用原始SQL
await db.query(
  'SELECT * FROM users WHERE email = $1',
  [userEmail]
)

验证步骤

[ ] 所有数据库查询使用参数化查询
[ ] 无字符串拼接在SQL中
[ ] ORM/查询构建器正确使用
[ ] Supabase查询正确消毒

4. 身份验证与授权

JWT令牌处理

// ❌ 错误: localStorage（易受XSS攻击）
localStorage.setItem('token', token)

// ✅ 正确: httpOnly cookies
res.setHeader('Set-Cookie',
  `token=${token}; HttpOnly; Secure; SameSite=Strict; Max-Age=3600`)

授权检查

export async function deleteUser(userId: string, requesterId: string) {
  // 总是先验证授权
  const requester = await db.users.findUnique({
    where: { id: requesterId }
  })

  if (requester.role !== 'admin') {
    return NextResponse.json(
      { error: '未授权' },
      { status: 403 }
    )
  }

  // 继续删除操作
  await db.users.delete({ where: { id: userId } })
}

行级安全性（Supabase）

-- 在所有表上启用RLS
ALTER TABLE users ENABLE ROW LEVEL SECURITY;

-- 用户只能查看自己的数据
CREATE POLICY "用户查看自己的数据"
  ON users FOR SELECT
  USING (auth.uid() = id);

-- 用户只能更新自己的数据
CREATE POLICY "用户更新自己的数据"
  ON users FOR UPDATE
  USING (auth.uid() = id);

验证步骤

[ ] 令牌存储在httpOnly cookies中（非localStorage）
[ ] 授权检查在敏感操作前
[ ] 行级安全性在Supabase中启用
[ ] 基于角色的访问控制实现
[ ] 会话管理安全

5. XSS预防

消毒HTML

import DOMPurify from 'isomorphic-dompurify'

// 总是消毒用户提供的HTML
function renderUserContent(html: string) {
  const clean = DOMPurify.sanitize(html, {
    ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'p'],
    ALLOWED_ATTR: []
  })
  return <div dangerouslySetInnerHTML={{ __html: clean }} />
}

内容安全策略

// next.config.js
const securityHeaders = [
  {
    key: 'Content-Security-Policy',
    value: `
      default-src 'self';
      script-src 'self' 'unsafe-eval' 'unsafe-inline';
      style-src 'self' 'unsafe-inline';
      img-src 'self' data: https:;
      font-src 'self';
      connect-src 'self' https://api.example.com;
    `.replace(/\s{2,}/g, ' ').trim()
  }
]

验证步骤

[ ] 用户提供的HTML已消毒
[ ] CSP头配置
[ ] 无未验证的动态内容渲染
[ ] React的内置XSS保护使用

6. CSRF防护

CSRF令牌

import { csrf } from '@/lib/csrf'

export async function POST(request: Request) {
  const token = request.headers.get('X-CSRF-Token')

  if (!csrf.verify(token)) {
    return NextResponse.json(
      { error: '无效的CSRF令牌' },
      { status: 403 }
    )
  }

  // 处理请求
}

SameSite Cookies

res.setHeader('Set-Cookie',
  `session=${sessionId}; HttpOnly; Secure; SameSite=Strict`)

验证步骤

[ ] CSRF令牌在状态更改操作上
[ ] SameSite=Strict在所有cookies上
[ ] 双提交cookie模式实现

7. 速率限制

API速率限制

import rateLimit from 'express-rate-limit'

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分钟
  max: 100, // 每个窗口100个请求
  message: '请求过多'
})

// 应用到路由
app.use('/api/', limiter)

昂贵操作

// 搜索的严格速率限制
const searchLimiter = rateLimit({
  windowMs: 60 * 1000, // 1分钟
  max: 10, // 每分钟10个请求
  message: '搜索请求过多'
})

app.use('/api/search', searchLimiter)

验证步骤

[ ] 所有API端点速率限制
[ ] 昂贵操作更严格的限制
[ ] 基于IP的速率限制
[ ] 基于用户的速率限制（已认证）

8. 敏感数据暴露

日志记录

// ❌ 错误: 记录敏感数据
console.log('用户登录:', { email, password })
console.log('支付:', { cardNumber, cvv })

// ✅ 正确: 脱敏敏感数据
console.log('用户登录:', { email, userId })
console.log('支付:', { last4: card.last4, userId })

错误消息

// ❌ 错误: 暴露内部细节
catch (error) {
  return NextResponse.json(
    { error: error.message, stack: error.stack },
    { status: 500 }
  )
}

// ✅ 正确: 通用错误消息
catch (error) {
  console.error('内部错误:', error)
  return NextResponse.json(
    { error: '发生错误。请重试。' },
    { status: 500 }
  )
}

验证步骤

[ ] 无密码、令牌或秘密在日志中
[ ] 错误消息对用户通用
[ ] 详细错误仅在服务器日志中
[ ] 无堆栈跟踪暴露给用户

9. 区块链安全（Solana）

钱包验证

import { verify } from '@solana/web3.js'

async function verifyWalletOwnership(
  publicKey: string,
  signature: string,
  message: string
) {
  try {
    const isValid = verify(
      Buffer.from(message),
      Buffer.from(signature, 'base64'),
      Buffer.from(publicKey, 'base64')
    )
    return isValid
  } catch (error) {
    return false
  }
}

交易验证

async function verifyTransaction(transaction: Transaction) {
  // 验证接收者
  if (transaction.to !== expectedRecipient) {
    throw new Error('无效的接收者')
  }

  // 验证金额
  if (transaction.amount > maxAmount) {
    throw new Error('金额超过限制')
  }

  // 验证用户有足够余额
  const balance = await getBalance(transaction.from)
  if (balance < transaction.amount) {
    throw new Error('余额不足')
  }

  return true
}

验证步骤

[ ] 钱包签名验证
[ ] 交易详情验证
[ ] 交易前余额检查
[ ] 无盲签名交易

10. 依赖安全

定期更新

# 检查漏洞
npm audit

# 自动修复可修复问题
npm audit fix

# 更新依赖
npm update

# 检查过时的包
npm outdated

锁文件

# 总是提交锁文件
git add package-lock.json

# 在CI/CD中使用可重复构建
npm ci  # 而非npm install

验证步骤

[ ] 依赖是最新的
[ ] 无已知漏洞（npm audit干净）
[ ] 锁文件已提交
[ ] Dependabot在GitHub启用
[ ] 定期安全更新

安全测试

自动化安全测试

// 测试身份验证
test('需要身份验证', async () => {
  const response = await fetch('/api/protected')
  expect(response.status).toBe(401)
})

// 测试授权
test('需要管理员角色', async () => {
  const response = await fetch('/api/admin', {
    headers: { Authorization: `Bearer ${userToken}` }
  })
  expect(response.status).toBe(403)
})

// 测试输入验证
test('拒绝无效输入', async () => {
  const response = await fetch('/api/users', {
    method: 'POST',
    body: JSON.stringify({ email: '不是邮箱' })
  })
  expect(response.status).toBe(400)
})

// 测试速率限制
test('强制速率限制', async () => {
  const requests = Array(101).fill(null).map(() =>
    fetch('/api/endpoint')
  )

  const responses = await Promise.all(requests)
  const tooManyRequests = responses.filter(r => r.status === 429)

  expect(tooManyRequests.length).toBeGreaterThan(0)
})

部署前安全检查清单

在任意生产部署前：

[ ] 秘密: 无硬编码秘密，所有在环境变量中
[ ] 输入验证: 所有用户输入已验证
[ ] SQL注入: 所有查询参数化
[ ] XSS: 用户内容已消毒
[ ] CSRF: 防护启用
[ ] 身份验证: 正确处理令牌
[ ] 授权: 角色检查到位
[ ] 速率限制: 所有端点启用
[ ] HTTPS: 在生产中强制
[ ] 安全头: CSP, X-Frame-Options配置
[ ] 错误处理: 错误中无敏感数据
[ ] 日志记录: 无敏感数据记录
[ ] 依赖: 最新的，无漏洞
[ ] 行级安全性: 在Supabase中启用
[ ] CORS: 正确配置
[ ] 文件上传: 已验证（大小、类型）
[ ] 钱包签名: 验证（如涉及区块链）

资源

记住: 安全不是可选的。一个漏洞可能危及整个平台。当有疑问时，偏向谨慎。

名称: 安全审查 描述: 在添加身份验证、处理用户输入、处理机密信息、创建API端点或实现支付/敏感功能时使用此技能。提供全面的安全检查清单和模式。 作者: affaan-m 版本: “1.0”

安全审查技能

何时激活

安全检查清单

1. 秘密管理

❌ 绝不要这样做

✅ 总是这样做

验证步骤

2. 输入验证

总是验证用户输入

文件上传验证

验证步骤

3. SQL注入预防

❌ 绝不要拼接SQL

✅ 总是使用参数化查询

验证步骤

4. 身份验证与授权

JWT令牌处理

授权检查

行级安全性（Supabase）

验证步骤

5. XSS预防

消毒HTML

内容安全策略

验证步骤

6. CSRF防护

CSRF令牌

SameSite Cookies

验证步骤

7. 速率限制

API速率限制

昂贵操作

验证步骤

8. 敏感数据暴露

日志记录

错误消息

验证步骤

9. 区块链安全（Solana）

钱包验证

交易验证

验证步骤

10. 依赖安全

定期更新

锁文件

验证步骤

安全测试

自动化安全测试

部署前安全检查清单

资源

名称: 安全审查描述: 在添加身份验证、处理用户输入、处理机密信息、创建API端点或实现支付/敏感功能时使用此技能。提供全面的安全检查清单和模式。作者: affaan-m 版本: “1.0”