code-review-security · owasp — скилл для Claude Code: аудит кода по OWASP
Скилл для проверки кода на уязвимости: разбирает pull request или модуль по классам OWASP Top 10 и ASVS и выдаёт находки с исправлениями.
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a claude-codeЧто делает code-review-security
Скилл ведёт ревью по процедуре из plays/code-review-security.md. Сначала определяется контекст: язык и фреймворк, граница доверия (сервер, клиент, библиотека, CLI), чувствительность данных и то, торчит ли код в интернет. Дальше проверка идёт по классам уязвимостей в порядке приоритета: инъекции, аутентификация и сессии, авторизация, криптография, утечка данных, мисконфигурация, десериализация.
Для каждого класса есть свой набор проверок. Инъекции — SQL, командные, XSS, SSTI, LDAP, обход путей, заголовки, логи. Авторизация — пропущенные проверки прав, IDOR, повышение привилегий. Криптография — слабые алгоритмы, захардкоженные ключи, самописные схемы. Отдельно применяются проверки под обнаруженный фреймворк: React, Express, Django, Flask, Spring, Rails, Go.
Если на входе pull request, анализ сужается до изменённых строк с контекстом. Скилл смотрит, не сломали ли существующие защиты, совпадают ли новые эндпоинты с принятыми паттернами авторизации, не удалили ли проверку случайно. На выходе — находки с file:line, уязвимым фрагментом, сценарием атаки, исправленным кодом и оценкой уверенности, плюс таблица по критичности. Скилл рассчитан на ревью перед мержем: если в проекте нет ни одного места, где проверяются права доступа, это повод пройтись по нему целиком, а не только по диффу.
Какие задачи решает
- проверить pull request на инъекции до мержа
- найти пропущенную проверку прав в новом эндпоинте
- вычистить захардкоженные ключи и пароли из кода
- разобрать модуль на утечку данных в логи и ошибки
- закрыть дыры в десериализации и CSRF
Примеры запросов агенту
- проверь этот pull request на уязвимости по OWASP Top 10
- проаудируй модуль
src/authна инъекции и проблемы с сессиями - сделай security-гейт перед мержем и покажи находки по критичности
Как установить code-review-security
1Через Skills CLI (Vercel)
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a claude-code2Вручную: положить файлы
~/.claude/skills/code-review-security/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/code-review-security/
1Через Skills CLI (Vercel)
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a codex2Вручную: положить файлы
.agents/skills/code-review-security/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a cursor2Вручную: положить файлы
.cursor/skills/code-review-security/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install OWASP/secure-agent-playbook code-review-security2Вручную: положить файлы
.github/skills/code-review-security/SKILL.md1Через Skills CLI (Vercel)
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a gemini-cli2Командой платформы
gemini skills install https://github.com/OWASP/secure-agent-playbook --path plugins/code-security-skills/skills/code-review-securityВручную: положить файлы
.devin/skills/code-review-security/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add OWASP/secure-agent-playbook --skill code-review-security -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Из того же набора4
Другие версии code-review-security
Похожие
Рядом в теме «Безопасность»
Всё по теме «Безопасность» →Вопросы о code-review-security
Как установить code-review-security в Claude?
Выполните npx skills add OWASP/secure-agent-playbook --skill code-review-security -a claude-code. Скилл встанет в ~/.claude/skills/code-review-security/SKILL.md.
Что делает code-review-security?
Проводит ревью кода на уязвимости по OWASP Top 10 и ASVS: инъекции, аутентификация, авторизация, криптография, утечка данных, мисконфигурация, десериализация. На выходе — находки с file:line, сценарием атаки и исправленным кодом.
На каких платформах работает скилл?
Claude, Codex, Cursor, GitHub Copilot, Gemini CLI и OpenCode. Для каждой платформы своя команда установки.
Исходный текст
SKILL.md · CC-BY-4.0
--- name: code-review-security description: Security-focused code review mapped to OWASP Top 10 and ASVS. Use when reviewing pull requests, auditing files or modules for vulnerabilities, or performing pre-merge security gate checks. Covers injection, auth, authorization, cryptography, data exposure, misconfiguration, and deserialization. license: CC-BY-4.0 --- # Security Code Review Review code for security vulnerabilities by following the full procedure in `plays/code-review-security.md`. ## Steps 1. **Scope & Context** — Establish language/framework, trust boundary (server/client/library/CLI), data sensitivity (PII, credentials, financial), and exposure (internet-facing, internal, local). 2. **Systematic Review by Vulnerability Class** (priority order): - **Injection (A03)** — SQL, command, XSS, SSTI, LDAP, path traversal, header, log injection - **Authentication & Session (A07)** — Hardcoded credentials, missing auth, weak sessions, JWT issues - **Authorization (A01)** — Missing authz checks, IDOR, horizontal/vertical privilege escalation - **Cryptography (A02)** — Weak algorithms, hardcoded keys, missing encryption, custom crypto - **Data Exposure (A01)** — Sensitive data in errors/logs, credentials in code, debug mode - **Misconfiguration (A05)** — Default credentials, permissive CORS, missing security headers - **Deserialization (A08)** — Untrusted deserialization, missing integrity checks, CSRF gaps 3. **Framework-Specific Checks** — Apply checks for detected framework (React, Express, Django, Flask, Spring, Rails, Go). 4. **Diff-Specific Analysis** (for PRs) — Focus on changed lines plus context, verify security controls preserved, check new endpoints match auth patterns, look for removed security controls. 5. **Produce Findings** — Cite file:line, show vulnerable snippet, explain attack scenario, provide fixed code, rate confidence. ## Output Scope summary, findings sorted by severity using `templates/finding.md`, positive observations (good security controls in place), and severity count table. ## OWASP References - OWASP Top 10 (2021): A01-A10 - OWASP ASVS v5.0 - OWASP Code Review Guide - OWASP Cheat Sheet Series
© OWASP · CC-BY-4.0 · OWASP/secure-agent-playbook
