# secure-code-review

Скилл прогоняет код по всем десяти категориям OWASP Top 10 и выдаёт отчёт с примерами уязвимостей и готовыми исправлениями. Пригодится перед релизом или ревью чужого проекта.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · ★ 4676
- Автор: zebbern
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/zebbern/claude-code-guide/tree/HEAD/skills/secure-code-review/SKILL.md
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/skills/zebbern-secure-code-review

## Что делает

Скилл работает как чек-лист: он проходит по A01–A10 последовательно и по каждому пункту показывает, что искать. В отчёте есть описание уязвимости, типичный уязвимый код, точки проверки и пример исправления. Каждой находке присваивается уровень — RED для того, что эксплуатируется сразу, YELLOW для условий, GREEN для пробелов в защите. В конце идёт список правок по приоритету.

Главный принцип, который задаёт автор: лучше лишняя находка, чем пропущенная. Поэтому в отчёт попадают все десять категорий, а пункты без замечаний помечаются как пройденные. Ссылки на конкретные места идут в формате `file:line_number`, а исправления даются рабочим кодом, не описанием.

Скилл рассчитан на веб-приложения. Внутри разобраны SQL-инъекции, XSS, SSRF, сломанный контроль доступа, ошибки в криптографии, небезопасная десериализация и логирование паролей в открытом виде. Если проект не веб, часть пунктов просто не найдёт цели — это повод проверить, какие категории вообще применимы к вашему стеку.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add zebbern/claude-code-guide --skill secure-code-review -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/secure-code-review/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/secure-code-review/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add zebbern/claude-code-guide --skill secure-code-review -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/secure-code-review/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add zebbern/claude-code-guide --skill secure-code-review -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/secure-code-review/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install zebbern/claude-code-guide secure-code-review
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/secure-code-review/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add zebbern/claude-code-guide --skill secure-code-review -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/zebbern/claude-code-guide --path skills/secure-code-review
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/secure-code-review/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add zebbern/claude-code-guide --skill secure-code-review -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/zebbern/claude-code-guide/tree/HEAD/skills/secure-code-review/SKILL.md

## Когда брать
- проверить эндпоинты на IDOR и обход авторизации
- найти конкатенацию строк в SQL-запросах
- отловить `shell=True` и `os.system()` с пользовательским вводом
- проверить, чем хешируются пароли и не зашиты ли ключи в код
- прогнать зависимости через `pip audit` и `npm audit`

## Примеры запросов агенту
- Проверь этот код на SQL-инъекции
- Сделай полный аудит проекта по OWASP Top 10
- Есть ли в этом эндпоинте SSRF-уязвимость?

## Похожие
- [security-review](https://affpapa.org/nevibecode/skills/getsentry-security-review.md) — скилл · 21300 установок
- [secure-code-guardian](https://affpapa.org/nevibecode/skills/secure-code-guardian.md) — скилл · 5100 установок
- [security-auditor](https://affpapa.org/nevibecode/skills/ovachiever-security-auditor.md) — скилл · 780 установок
- [cc-skill-security-review](https://affpapa.org/nevibecode/skills/sickn33-cc-skill-security-review.md) — скилл · 2100 установок
- [fix-security-vulnerabilities-with-strix](https://affpapa.org/nevibecode/skills/fix-security-vulnerabilities-with-strix.md) — скилл · 15700 установок
- [drupal-security](https://affpapa.org/nevibecode/skills/drupal-security.md) — скилл · 823 установки

Из того же набора: [zebbern/claude-code-guide](https://affpapa.org/nevibecode/by/zebbern/claude-code-guide.md) — 12 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md