# security-scan

Статический аудит .NET-проекта по шести слоям: пакеты, секреты, OWASP-паттерны, авторизация, CORS и защита данных. Находки получают уровень критичности и код исправления.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 2800 установок · ★ 789
- Автор: codewithmukesh
- Лицензия: MIT · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/codewithmukesh/dotnet-claude-kit/tree/HEAD/skills/security-scan/SKILL.md
- Обновлён: 2026-08-07
- HTML: https://affpapa.org/nevibecode/skills/codewithmukesh-security-scan

## Что делает

Скилл прогоняет проект по шести слоям, потому что один слой ловит не всё: у кода без единой CVE всё равно могут найтись захардкоженные пароли, SQL-инъекция и эндпоинт без атрибута авторизации. Первый слой ищет уязвимые пакеты через `dotnet list package --vulnerable --include-transitive`, второй сканирует `.cs`, `.json`, `.yml`, `.xml` и `.config` на секреты. Третий ищет опасные паттерны в исходниках: сырой SQL, `Html.Raw`, `BinaryFormatter`, MD5/SHA1, IDOR. Четвёртый слой через `get_endpoint_map` собирает авторизацию по всем маршрутам и отдельно помечает эндпоинты без явных атрибутов, затем проверяет настройки валидации JWT. Пятый разбирает CORS — звёздочки в origins, сочетания с credentials, широту методов и заголовков. Шестой смотрит утечки PII в логи, слишком широкие ответы и хранение чувствительных данных в открытом виде.

Перед запуском скилл читает `references/scan-layers.md` — там лежат паттерны детекта, привязка к OWASP Top 10:2025 и шаблон отчёта. Глубокую проверку авторизации и секретов он передаёт субагенту `security-auditor` вместе со скиллами `authentication` и `configuration`. Слои выбираются по ситуации: перед релизом или пентестом идут все шесть, после обновления зависимостей хватит первого, при добавлении эндпоинта — третьего, четвёртого и пятого.

Это статический анализ, а не пентест: логические дыры, сложные обходы авторизации и уязвимости времени выполнения он пропускает, и в каждом отчёте об этом сказано.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add codewithmukesh/dotnet-claude-kit --skill security-scan -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/security-scan/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/security-scan/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add codewithmukesh/dotnet-claude-kit --skill security-scan -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/security-scan/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add codewithmukesh/dotnet-claude-kit --skill security-scan -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/security-scan/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install codewithmukesh/dotnet-claude-kit security-scan
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/security-scan/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add codewithmukesh/dotnet-claude-kit --skill security-scan -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/codewithmukesh/dotnet-claude-kit --path skills/security-scan
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/security-scan/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add codewithmukesh/dotnet-claude-kit --skill security-scan -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/codewithmukesh/dotnet-claude-kit/tree/HEAD/skills/security-scan/SKILL.md

## Когда брать
- найти уязвимые NuGet-пакеты вместе с транзитивными
- вычистить захардкоженные пароли и ключи из конфигов
- отловить сырой SQL и другие опасные паттерны до релиза
- проверить, у каждого ли эндпоинта явно задана авторизация
- подготовить отчёт с уровнями критичности перед пентестом

## Примеры запросов агенту
- Прогони `/security-scan` перед релизом, все шесть слоёв
- Сделай security audit: проверь секреты и CORS
- После обновления пакетов запусти только слой проверки уязвимых зависимостей

## Похожие
- [git-guardrails-claude-code](https://affpapa.org/nevibecode/skills/git-guardrails-claude-code.md) — скилл · 499069 установок
- [ponytail-review](https://affpapa.org/nevibecode/skills/ponytail-review.md) — скилл · 57000 установок
- [ponytail-audit](https://affpapa.org/nevibecode/skills/ponytail-audit.md) — скилл · 45400 установок
- [security-audit](https://affpapa.org/nevibecode/skills/cloudflare-security-audit.md) — скилл · 54800 установок
- [security-and-hardening](https://affpapa.org/nevibecode/skills/security-and-hardening.md) — скилл · 70200 установок
- [supabase](https://affpapa.org/nevibecode/skills/supabase.md) — скилл · 8 установок

## Другие версии с тем же именем
- [security-scan · affaan-m](https://affpapa.org/nevibecode/skills/affaan-m-security-scan.md) — 4700 установок
- [security-scan · ruvnet](https://affpapa.org/nevibecode/skills/ruvnet-security-scan.md) — 748 установок

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md