hellowind777/hello-security
skills/hello-security/SKILL.md
涉及认证、密码、token、JWT、OAuth、session、cookie、加密、密钥、API key、权限、角色、用户输入验证、文件上传等安全敏感操作时使用。
$ install --global
skillsauthnpx skillsauth add hellowind777/helloagents hello-securityInstall this skill globally with one command. Works with Claude Code, Cursor, and Windsurf.
Security Scan Results
3 of 9 scanners reported clean
Some scanners were skipped, did not run, or reported a non-clean status. Review each row below.
3
Scanners Passed
9
Scanners in report
Clean
TrivyContainer and dependency vulnerability scanner
95%
Clean
SemgrepStatic code analysis for vulnerabilities
95%
Clean
mcp-scan (Snyk)Model Context Protocol security validation
95%
Skipped
Snyk (dep)Open source security scanning
50%
Skipped
Socket.devSupply chain security analysis
50%
Skipped
VirusTotalMulti-engine malware detection
50%
Skipped
CrowdStrikeAdvanced threat intelligence
50%
Skipped
OSV-ScannerOpen Source Vulnerability database check
50%
Skipped
OWASP Dep-Check
50%
Last scanned: May 3, 2026, 3:14 AM180.3s1 file scanned
SKILL.md
- name:
- hello-security
- description:
- 涉及认证、密码、token、JWT、OAuth、session、cookie、加密、密钥、API key、权限、角色、用户输入验证、文件上传等安全敏感操作时使用。
安全相关代码必须遵循以下规范。
编码前
先识别攻击面和信任边界，再写代码。
认证与密钥
- 密码：bcrypt/argon2 哈希，不可逆存储
- JWT：设置过期时间，使用 RS256 或 HS256，不在 payload 存敏感数据
- 密钥/API key：环境变量或密钥管理服务，不硬编码
- .env 不提交到版本控制（.gitignore）
- API key 使用最小权限原则
输入验证
- 所有外部输入（用户、API、文件）必须验证
- 白名单优于黑名单
- SQL：参数化查询，不拼接字符串
- 文件上传：验证类型、大小、内容，不信任文件扩展名
输出防护
- XSS：输出编码，设置 CSP 头
- CSRF：token 验证
- 敏感数据：HTTPS 传输，加密存储，不记录到日志
- 错误信息：不暴露内部实现细节给用户
权限控制
- 最小权限原则
- 检查资源所有权（不能只检查角色）
- 路径遍历：规范化路径，限制访问范围
交付检查
- [ ] 无硬编码密钥/密码
- [ ] 所有用户输入已验证
- [ ] SQL 使用参数化查询
- [ ] 敏感数据不在日志中
- [ ] 认证 token 有过期时间
Related Skills
hellowind777/hello-subagent
data-ai
VerifiedTrustedCommunity
使用子代理执行任务、并行开发、分派工作时使用。确保子代理有清晰的上下文和验证标准。
600SKILL.mdUpdated May 3, 2026
hellowind777/qa-review
testing
VerifiedTrustedCommunity
统一质量审查、命令验证、阻断修复与交付前质量闭环。
599SKILL.mdUpdated May 22, 2026
hellowind777/~qa
testing
VerifiedTrustedCommunity
统一质量命令 — 审查、命令验证、阻断修复、回归验证与收尾前质量闭环（~qa 命令）
599SKILL.mdUpdated May 22, 2026
hellowind777/helloagents
data-ai
VerifiedTrustedCommunity
按任务类型适用 — 建立质量驱动工作流，通过技能标准、流程纪律和检查清单保障交付质量
599SKILL.mdUpdated May 3, 2026