security-audit · netresearch — скилл для Claude Code: аудит безопасности проекта

Что делает security-audit

Скилл собирает паттерны аудита: OWASP Top 10, LLM Top 10 2025, CWE Top 25 2025 и оценку уязвимостей по CVSS v3.1/v4.0. Покрывает типовые дыры — XXE, SQLi, XSS, CSRF, инъекции команд, path traversal, загрузку файлов, десериализацию, SSRF, JWT и type juggling.

Основной объём — PHP и TYPO3: больше 80 контрольных точек, файл typo3-security.md описывает проверки для v14.3 LTS. Есть отдельные справки по AWS, Terraform, Kubernetes, Docker и Helm, по REST/GraphQL, CSP и DOM-XSS, а также по конфигам агентов — SKILL.md, AGENTS.md, CLAUDE.md, mcp.json, hooks.json — с разбором prompt injection и избыточных полномочий. В комплекте чек-лист и три скрипта: диспетчер определяет стек по файлам-индикаторам и запускает нужный сканер из 13 экосистем, есть PHP-вариант и проверка репозитория GitHub.

Для работы нужны grep, jq и gh CLI — без них скрипты не отработают. Отдельного сканера скилл не содержит: пункты чек-листа про semgrep, trivy и gitleaks предполагают, что вы поставите их сами. В GitHub Actions подстановка ${{ inputs.* }} и ${{ github.event.* }} в run: недопустима, значения передавайте через env: — это правило вшито прямо в инструкцию скилла.