名称: 安全性审查描述: 使用此技能在添加认证、处理用户输入、处理密钥、创建API端点或实现支付/敏感功能时。提供全面的安全检查列表和模式。

安全性审查技能

此技能确保所有代码遵循安全性最佳实践并识别潜在漏洞。

何时启用

实现认证或授权
处理用户输入或文件上传
创建新的API端点
处理密钥或证书
实现支付功能
存储或传输敏感数据
整合第三方API

安全性检查清单

1. 密钥管理

❌ 绝不这样做

const apiKey = "sk-proj-xxxxx"  // 写死的密钥
const dbPassword = "password123" // 在源代码中

✅ 总是这样做

const apiKey = process.env.OPENAI_API_KEY
const dbUrl = process.env.DATABASE_URL

// 验证密钥存在
if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

验证步骤

[ ] 无写死的API密钥、Token或密码
[ ] 所有密钥在环境变量中
[ ] .env.local在.gitignore中
[ ] git历史中无密钥
[ ] 生产密钥在托管平台（Vercel、Railway）中

2. 输入验证

总是验证用户输入

import { z } from 'zod'

// 定义验证schema
const CreateUserSchema = z.object({
  email: z.string().email(),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
})

// 处理前验证
export async function createUser(input: unknown) {
  try {
    const validated = CreateUserSchema.parse(input)
    return await db.users.create(validated)
  } catch (error) {
    if (error instanceof z.ZodError) {
      return { success: false, errors: error.errors }
    }
    throw error
  }
}

文件上传验证

function validateFileUpload(file: File) {
  // 大小检查（最大5MB）
  const maxSize = 5 * 1024 * 1024
  if (file.size > maxSize) {
    throw new Error('文件太大（最大5MB）')
  }

  // 类型检查
  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif']
  if (!allowedTypes.includes(file.type)) {
    throw new Error('无效的文件类型')
  }

  // 扩展名检查
  const allowedExtensions = ['.jpg', '.jpeg', '.png', '.gif']
  const extension = file.name.toLowerCase().match(/\.[^.]+$/)?.[0]
  if (!extension || !allowedExtensions.includes(extension)) {
    throw new Error('无效的文件扩展名')
  }

  return true
}

验证步骤

[ ] 所有用户输入以schema验证
[ ] 文件上传受限（大小、类型、扩展名）
[ ] 查询中不直接使用用户输入
[ ] 白名单验证（非黑名单）
[ ] 错误消息不泄露敏感信息

3. SQL注入预防

❌ 绝不串接SQL

// 危险 - SQL注入漏洞
const query = `SELECT * FROM users WHERE email = '${userEmail}'`
await db.query(query)

✅ 总是使用参数化查询

// 安全 - 参数化查询
const { data } = await supabase
  .from('users')
  .select('*')
  .eq('email', userEmail)

// 或使用原始SQL
await db.query(
  'SELECT * FROM users WHERE email = $1',
  [userEmail]
)

验证步骤

[ ] 所有数据库查询使用参数化查询
[ ] SQL中无字符串串接
[ ] ORM/查询构造器正确使用
[ ] Supabase查询正确净化

4. 认证与授权

JWT Token处理

// ❌ 错误：localStorage（易受XSS攻击）
localStorage.setItem('token', token)

// ✅ 正确：httpOnly cookies
res.setHeader('Set-Cookie',
  `token=${token}; HttpOnly; Secure; SameSite=Strict; Max-Age=3600`)

授权检查

export async function deleteUser(userId: string, requesterId: string) {
  // 总是先验证授权
  const requester = await db.users.findUnique({
    where: { id: requesterId }
  })

  if (requester.role !== 'admin') {
    return NextResponse.json(
      { error: '未经授权' },
      { status: 403 }
    )
  }

  // 继续删除
  await db.users.delete({ where: { id: userId } })
}

Row Level Security（Supabase）

-- 在所有表格上启用RLS
ALTER TABLE users ENABLE ROW LEVEL SECURITY;

-- 用户只能查看自己的数据
CREATE POLICY "用户查看自己的数据"
  ON users FOR SELECT
  USING (auth.uid() = id);

-- 用户只能更新自己的数据
CREATE POLICY "用户更新自己的数据"
  ON users FOR UPDATE
  USING (auth.uid() = id);

验证步骤

[ ] Token存储在httpOnly cookies（非localStorage）
[ ] 敏感操作前有授权检查
[ ] Supabase已启用Row Level Security
[ ] 已实现基于角色的访问控制
[ ] 工作会话管理安全

5. XSS预防

净化HTML

import DOMPurify from 'isomorphic-dompurify'

// 总是净化用户提供的HTML
function renderUserContent(html: string) {
  const clean = DOMPurify.sanitize(html, {
    ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'p'],
    ALLOWED_ATTR: []
  })
  return <div dangerouslySetInnerHTML={{ __html: clean }} />
}

Content Security Policy

// next.config.js
const securityHeaders = [
  {
    key: 'Content-Security-Policy',
    value: `
      default-src 'self';
      script-src 'self' 'unsafe-eval' 'unsafe-inline';
      style-src 'self' 'unsafe-inline';
      img-src 'self' data: https:;
      font-src 'self';
      connect-src 'self' https://api.example.com;
    `.replace(/\s{2,}/g, ' ').trim()
  }
]

验证步骤

[ ] 用户提供的HTML已净化
[ ] CSP headers已设置
[ ] 无未验证的动态内容渲染
[ ] 使用React内置XSS保护

6. CSRF保护

CSRF Tokens

import { csrf } from '@/lib/csrf'

export async function POST(request: Request) {
  const token = request.headers.get('X-CSRF-Token')

  if (!csrf.verify(token)) {
    return NextResponse.json(
      { error: '无效的CSRF token' },
      { status: 403 }
    )
  }

  // 处理请求
}

SameSite Cookies

res.setHeader('Set-Cookie',
  `session=${sessionId}; HttpOnly; Secure; SameSite=Strict`)

验证步骤

[ ] 状态变更操作有CSRF tokens
[ ] 所有cookies设置SameSite=Strict
[ ] 已实现Double-submit cookie模式

7. 速率限制

API速率限制

import rateLimit from 'express-rate-limit'

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分钟
  max: 100, // 每窗口100个请求
  message: '请求过多'
})

// 应用到路由
app.use('/api/', limiter)

昂贵操作

// 搜索的积极速率限制
const searchLimiter = rateLimit({
  windowMs: 60 * 1000, // 1分钟
  max: 10, // 每分钟10个请求
  message: '搜索请求过多'
})

app.use('/api/search', searchLimiter)

验证步骤

[ ] 所有API端点有速率限制
[ ] 昂贵操作有更严格限制
[ ] 基于IP的速率限制
[ ] 基于用户的速率限制（已认证）

8. 敏感数据暴露

日志记录

// ❌ 错误：记录敏感数据
console.log('用户登录:', { email, password })
console.log('支付:', { cardNumber, cvv })

// ✅ 正确：遮蔽敏感数据
console.log('用户登录:', { email, userId })
console.log('支付:', { last4: card.last4, userId })

错误消息

// ❌ 错误：暴露内部细节
catch (error) {
  return NextResponse.json(
    { error: error.message, stack: error.stack },
    { status: 500 }
  )
}

// ✅ 正确：通用错误消息
catch (error) {
  console.error('内部错误:', error)
  return NextResponse.json(
    { error: '发生错误，请重试。' },
    { status: 500 }
  )
}

验证步骤

[ ] 日志中无密码、token或密钥
[ ] 用户收到通用错误消息
[ ] 详细错误只在服务器日志
[ ] 不向用户暴露堆栈追踪

9. 区块链安全（Solana）

钱包验证

import { verify } from '@solana/web3.js'

async function verifyWalletOwnership(
  publicKey: string,
  signature: string,
  message: string
) {
  try {
    const isValid = verify(
      Buffer.from(message),
      Buffer.from(signature, 'base64'),
      Buffer.from(publicKey, 'base64')
    )
    return isValid
  } catch (error) {
    return false
  }
}

交易验证

async function verifyTransaction(transaction: Transaction) {
  // 验证收款人
  if (transaction.to !== expectedRecipient) {
    throw new Error('无效的收款人')
  }

  // 验证金额
  if (transaction.amount > maxAmount) {
    throw new Error('金额超过限制')
  }

  // 验证用户有足够余额
  const balance = await getBalance(transaction.from)
  if (balance < transaction.amount) {
    throw new Error('余额不足')
  }

  return true
}

验证步骤

[ ] 钱包签名已验证
[ ] 交易详情已验证
[ ] 交易前有余额检查
[ ] 无盲目交易签署

10. 依赖安全

定期更新

# 检查漏洞
npm audit

# 自动修复可修复的问题
npm audit fix

# 更新依赖
npm update

# 检查过时包
npm outdated

Lock文件

# 总是commit lock文件
git add package-lock.json

# 在CI/CD中使用以获得可重现的构建
npm ci  # 而非npm install

验证步骤

[ ] 依赖保持最新
[ ] 无已知漏洞（npm audit干净）
[ ] Lock文件已commit
[ ] GitHub上已启用Dependabot
[ ] 定期安全更新

安全测试

自动化安全测试

// 测试认证
test('需要认证', async () => {
  const response = await fetch('/api/protected')
  expect(response.status).toBe(401)
})

// 测试授权
test('需要管理员角色', async () => {
  const response = await fetch('/api/admin', {
    headers: { Authorization: `Bearer ${userToken}` }
  })
  expect(response.status).toBe(403)
})

// 测试输入验证
test('拒绝无效输入', async () => {
  const response = await fetch('/api/users', {
    method: 'POST',
    body: JSON.stringify({ email: '非邮箱' })
  })
  expect(response.status).toBe(400)
})

// 测试速率限制
test('强制执行速率限制', async () => {
  const requests = Array(101).fill(null).map(() =>
    fetch('/api/endpoint')
  )

  const responses = await Promise.all(requests)
  const tooManyRequests = responses.filter(r => r.status === 429)

  expect(tooManyRequests.length).toBeGreaterThan(0)
})

部署前安全检查清单

任何生产部署前：

[ ] 密钥：无写死密钥，全在环境变量中
[ ] 输入验证：所有用户输入已验证
[ ] SQL注入：所有查询已参数化
[ ] XSS：用户内容已净化
[ ] CSRF：保护已启用
[ ] 认证：正确的token处理
[ ] 授权：角色检查已就位
[ ] 速率限制：所有端点已启用
[ ] HTTPS：生产环境强制使用
[ ] 安全标头：CSP、X-Frame-Options已设置
[ ] 错误处理：错误中无敏感数据
[ ] 日志记录：无敏感数据被记录
[ ] 依赖：最新，无漏洞
[ ] Row Level Security：Supabase已启用
[ ] CORS：正确设定
[ ] 文件上传：已验证（大小、类型）
[ ] 钱包签名：已验证（如果是区块链）

资源

记住：安全性不是可选的。一个漏洞可能危及整个平台。有疑虑时，选择谨慎的做法。

名称: 安全性审查 描述: 使用此技能在添加认证、处理用户输入、处理密钥、创建API端点或实现支付/敏感功能时。提供全面的安全检查列表和模式。

安全性审查技能

何时启用

安全性检查清单

1. 密钥管理

❌ 绝不这样做

✅ 总是这样做

验证步骤

2. 输入验证

总是验证用户输入

文件上传验证

验证步骤

3. SQL注入预防

❌ 绝不串接SQL

✅ 总是使用参数化查询

验证步骤

4. 认证与授权

JWT Token处理

授权检查

Row Level Security（Supabase）

验证步骤

5. XSS预防

净化HTML

Content Security Policy

验证步骤

6. CSRF保护

CSRF Tokens

SameSite Cookies

验证步骤

7. 速率限制

API速率限制

昂贵操作

验证步骤

8. 敏感数据暴露

日志记录

错误消息

验证步骤

9. 区块链安全（Solana）

钱包验证

交易验证

验证步骤

10. 依赖安全

定期更新

Lock文件

验证步骤

安全测试

自动化安全测试

部署前安全检查清单

资源

名称: 安全性审查描述: 使用此技能在添加认证、处理用户输入、处理密钥、创建API端点或实现支付/敏感功能时。提供全面的安全检查列表和模式。