django-access-review — скилл для Claude Code: аудит доступа в Django
Скилл ищет IDOR и дыры в авторизации Django: проходит по вьюхам, DRF-вьюсетам и ORM-запросам и показывает, где проверок не хватает.
npx skills add getsentry/skills --skill django-access-review -a claude-codeЧто делает django-access-review
Скилл отвечает на один вопрос: может ли пользователь A читать, менять или удалять данные пользователя B. Сначала он разбирается, как авторизация устроена именно в вашем проекте — декораторы, middleware, базовые классы, permission_classes, кастомные менеджеры. Потом ищет места, где эта схема не срабатывает.
Работа идёт по шагам: понять модель авторизации, разметить поверхность атаки, проследить конкретные потоки данных, отчитаться. Скилл не сканирует код на готовые шаблоны уязвимостей, а трассирует путь ID от URL или тела запроса до ORM-вызова и смотрит, есть ли между ними проверка владельца. Находит через grep по permission_classes, get_queryset, полям owner_id и organization_id.
В отчёт попадают только подтверждённые находки, с уровнями уверенности. Предлагаемая правка должна реально проверять права и возвращать ошибку при отказе — комментарий про «вызывающий обязан проверить» скилл за исправление не считает. Инструменты ограничены: Read, Grep, Glob, Bash, Task.
Какие задачи решает
- найти IDOR в DRF-вьюсете, где
get_queryset()возвращает все объекты - проверить, фильтрует ли список записей по текущему пользователю
- убедиться, что владельца при создании ставит сервер, а не тело запроса
- проследить доступ к вложенным ресурсам вроде комментариев чужого документа
- поймать утечку между организациями при подмене
org_idв URL
Примеры запросов агенту
- проверь доступ к документам в
api/views.pyна IDOR - прогони django-access-review по вьюсетам с
permission_classes = [IsAuthenticated] - есть ли проверка владельца в
get_queryset()уDocumentViewSet?
Как установить django-access-review
1Через Skills CLI (Vercel)
npx skills add getsentry/skills --skill django-access-review -a claude-code2Вручную: положить файлы
~/.claude/skills/django-access-review/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/django-access-review/
1Через Skills CLI (Vercel)
npx skills add getsentry/skills --skill django-access-review -a codex2Вручную: положить файлы
.agents/skills/django-access-review/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add getsentry/skills --skill django-access-review -a cursor2Вручную: положить файлы
.cursor/skills/django-access-review/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install getsentry/skills django-access-review2Вручную: положить файлы
.github/skills/django-access-review/SKILL.md1Через Skills CLI (Vercel)
npx skills add getsentry/skills --skill django-access-review -a gemini-cli2Командой платформы
gemini skills install https://github.com/getsentry/skills --path skills/django-access-reviewВручную: положить файлы
.devin/skills/django-access-review/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add getsentry/skills --skill django-access-review -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Из того же набора20
Похожие
Рядом в теме «Безопасность»
Всё по теме «Безопасность» →Вопросы о django-access-review
Как установить django-access-review в Claude?
Выполните npx skills add getsentry/skills --skill django-access-review -a claude-code. Скилл встанет в ~/.claude/skills/django-access-review/SKILL.md.
Что делает django-access-review?
Проверяет авторизацию в Django-коде: вьюхи, DRF-вьюсеты, ORM-запросы. Ищет случаи, когда один пользователь может добраться до данных другого.
Какие инструменты нужны скиллу?
В нём разрешены Read, Grep, Glob, Bash и Task. Этого хватает, чтобы читать код и искать по нему.
