# api-security-review

Скилл прогоняет API по OWASP API Security Top 10 (2023): проверяет аутентификацию, BOLA, SSRF и конфигурацию шлюза. Пригодится перед релизом или при аудите чужого сервиса.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 503 установки · ★ 206
- Автор: OWASP
- Лицензия: CC-BY-4.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/OWASP/secure-agent-playbook/tree/HEAD/plugins/code-security-skills/skills/api-security-review/SKILL.md
- Обновлён: 2026-10-15
- HTML: https://affpapa.org/nevibecode/skills/api-security-review

## Что делает

Скилл ведёт агента по пяти шагам: разведка (разбор OpenAPI/Swagger и поиск эндпоинтов в коде), разбор аутентификации, проверка всех десяти рисков OWASP, автоматическое тестирование сканерами и ревизия API-шлюза. На выходе — отчёт: инвентарь поверхности API, матрица рисков с оценкой серьёзности, находки с proof-of-concept, сценарии эксплуатации и план исправлений с примерами кода.

Аутентификация разбирается отдельно: JWT (путаница алгоритмов, слабая подпись, срок жизни токена), потоки OAuth 2.0 (PKCE, параметр state, валидация redirect URI), утечка и ротация API-ключей, хранение сессий. Дальше идут десять категорий — от BOLA/IDOR и mass assignment до SSRF, теневых API и небезопасного потребления внешних данных.

Для шага с автоматическим тестированием нужны сканеры: OWASP ZAP, Burp Suite или тесты Postman. Без них агент пройдёт разведку и ручной разбор, но подтвердить находки эксплойтами не сможет. Ревизия шлюза рассчитана на конфигурации Kong, nginx, Envoy и AWS API Gateway.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill api-security-review -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/api-security-review/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/api-security-review/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill api-security-review -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/api-security-review/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill api-security-review -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/api-security-review/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install OWASP/secure-agent-playbook api-security-review
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/api-security-review/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill api-security-review -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/OWASP/secure-agent-playbook --path plugins/code-security-skills/skills/api-security-review
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/api-security-review/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill api-security-review -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/OWASP/secure-agent-playbook/tree/HEAD/plugins/code-security-skills/skills/api-security-review/SKILL.md

## Когда брать
- разобрать OpenAPI-спеку и найти в ней незащищённые эндпоинты
- проверить JWT и потоки OAuth 2.0 на типовые атаки
- найти IDOR через предсказуемые идентификаторы
- оценить лимиты запросов и защиту от GraphQL DoS
- собрать отчёт с proof-of-concept и планом исправлений

## Примеры запросов агенту
- проверь API по OWASP API Security Top 10, спека лежит в `openapi.yaml`
- разбери аутентификацию в этом сервисе: JWT и OAuth 2.0
- сделай ревизию конфигурации API-шлюза на предмет обходов

## Похожие
- [mcp-implementation-security-review](https://affpapa.org/nevibecode/skills/mcp-implementation-security-review.md) — скилл · 49 установок
- [security-review](https://affpapa.org/nevibecode/skills/getsentry-security-review.md) — скилл · 21300 установок
- [code-review-security](https://affpapa.org/nevibecode/skills/code-review-security.md) — скилл · 438 установок
- [typescript-security-review](https://affpapa.org/nevibecode/skills/typescript-security-review.md) — скилл · 3900 установок
- [owasp-security](https://affpapa.org/nevibecode/skills/owasp-security.md) — скилл · 3000 установок
- [owasp-security-check](https://affpapa.org/nevibecode/skills/owasp-security-check.md) — скилл · 1700 установок

Из того же набора: [owasp/secure-agent-playbook](https://affpapa.org/nevibecode/by/owasp/secure-agent-playbook.md) — 4 карточки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md