← Все навыки

code audit

Authorized source-code security review and SAST workflows: Semgrep and CodeQL pattern hunting, dangerous API identification, and fix verification.

Каталог из GitHub · что мы проверяем

Собираем навыки из Agentic Awesome Skills на GitHub. Это работы авторов сообщества, а не собственные разработки КОМЭКСПО. В карточках сохраняем источник и фиксированную версию.

Автоматические проверки

При импорте: проверяем адреса источников и убираем повторяющиеся идентификаторы. Некоторые категории риска исключаем.
При загрузке инструкции: проверяем формат SKILL.md, кодировку и объём. Ищем упоминания дополнительных файлов и инструментов.
Сверяем обозначение лицензии с разрешённым списком и учитываем известные исключения источника. Непонятные условия требуют отдельной проверки.

«Требует проверки» означает, что инструкция ещё не загружена и не проверена. Статусы совместимости не подтверждают безопасность, качество ответа или работу во всех моделях. Полный аудит кода, прав и тестирование каждого навыка не проводились. Скрипты не запускаем.

Авторы и условия использования

Оригинальные тексты коллекции заявлены под CC BY 4.0; у сторонних материалов могут быть другие условия. Открытый GitHub не означает отсутствие авторских прав. Сохраняйте авторство, ссылку на лицензию и отметки об изменениях.

Русские пояснения и промпт-обёртки подготовлены КОМЭКСПО. Оригинальные инструкции не переведены. Мы не связаны с GitHub или авторами навыков и не заявляем об их одобрении сервиса. Правообладателям: контакты — укажите карточку, оригинал и суть обращения.

Использовать навык

Без регистрации

Вставьте в свой ИИ-чат и замените последнюю строку своей задачей. Это инструкция, а не подключение новых инструментов.

Промпт для ИИ

Помоги выполнить мою задачу с опорой на навык «code audit». Применяй только уместные инструкции. Не выдумывай факты и результаты действий. Если не хватает инструментов или данных — скажи об этом. Не запускай код и не передавай данные без моего поручения.

Источник: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/skills/code-audit/SKILL.md. Лицензия: MIT.

---
name: code-audit
description: "Authorized source-code security review and SAST workflows: Semgrep and CodeQL pattern hunting, dangerous API identification, and fix verification."
risk: safe
source: "https://github.com/zhaoxuya520/reverse-skill"
source_repo: "zhaoxuya520/reverse-skill"
source_type: community
date_added: "2026-08-25"
license: "MIT"
license_source: "https://github.com/zhaoxuya520/reverse-skill/blob/main/LICENSE"
---
# Source Code Security Audit
## When to Use

- Reviewing a codebase for security defects with static analysis.
- Verifying that a vulnerability fix actually removes the flawed pattern.


## 适用场景

- 白盒审计、PR/差分安全审查
- Semgrep / CodeQL / Bandit / gosec 等 SAST
- 危险 API、注入点、鉴权缺失、加密误用
- 与 `supply-chain-security/` 分工：本 skill 偏**自有代码逻辑**，供应链偏依赖与管道

## 工作流

### 1. 范围与威胁模型

```text
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
```

### 2. 自动扫描

```bash
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
```

### 3. 人工验证（MUST）

```text
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
```

### 4. 产出

```text
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号
```

## 工具链

| 工具 | 语言/场景 |
|------|-----------|
| Semgrep | 多语言快速规则 |
| CodeQL | 深数据流（GitHub） |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |

## 参考

- `references/sast-review-checklist.md`
- `../supply-chain-security/` `../api-security/` `../llm-security/`（Agent 代码）

## 路由上下文

**上游**: MASTER R26  
**角色**: `ops/role-map.md` cae  
**下游**: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools

## 任务完成自检

- [ ] 是否人工验证而非只贴扫描器输出？
- [ ] 是否含修复建议？
- [ ] 是否限定在授权仓库范围？
- [ ] Checklist？

## Limitations

- Static analysis produces false positives; manual triage is required.
- Coverage depends on language support of the chosen SAST engine.

> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).


Моя задача: [опишите задачу и приложите исходные материалы]

Agentic Awesome Skills — sickn33 и авторы коллекции. Первоисточник: [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill). Описание автора; оригинальная инструкция без изменений. Авторство, исключения и лицензии: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
Оригинал: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/skills/code-audit/SKILL.md
Лицензия: MIT — https://opensource.org/license/mit
Авторство и исключения: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
SKILL.md сохранён без изменений. Промпт-обёртка и русские пояснения добавлены КОМЭКСПО. Сохраняйте уведомления авторов и условия лицензии при распространении. Авторы не заявляли об одобрении нашего сервиса. Материал предоставляется без гарантий.

Промпт попросит код-агента изучить фиксированную версию и предложить подключение к вашему проекту. Изменения требуют вашего согласования.

Промпт код-агенту

Подготовь подключение навыка «code audit» к этому проекту. Сначала прочитай SKILL.md по фиксированной ссылке: https://raw.githubusercontent.com/sickn33/agentic-awesome-skills/465ad05638fbe1d9e7f98671393396b6d9246393/skills/code-audit/SKILL.md. Версия: 465ad05638fbe1d9e7f98671393396b6d9246393. SHA-256 файла: 4b3b511bd5e1150781b5cc3f1abacacc22cd254f4fe394cc97a173138e926cf8. Лицензия: MIT. Проверь назначение, ограничения и доступные инструменты. Покажи, куда этот агент ожидает устанавливать навыки, и предложи точный план. Не перезаписывай существующие инструкции, не устанавливай зависимости, не запускай сторонние скрипты и не меняй права без отдельного согласования. Если инструкция ссылается на другие файлы, сообщи, какие отсутствуют. Моя задача: [опишите задачу].

Agentic Awesome Skills — sickn33 и авторы коллекции. Первоисточник: [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill). Описание автора; оригинальная инструкция без изменений. Авторство, исключения и лицензии: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
Оригинал: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/skills/code-audit/SKILL.md
Лицензия: MIT — https://opensource.org/license/mit
Авторство и исключения: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
SKILL.md сохранён без изменений. Промпт-обёртка и русские пояснения добавлены КОМЭКСПО. Сохраняйте уведомления авторов и условия лицензии при распространении. Авторы не заявляли об одобрении нашего сервиса. Материал предоставляется без гарантий.

Скачать SKILL.md ↓

Источник: sickn33/agentic-awesome-skills · MIT · Оригинал ↗

Атрибуция для копирования и распространения

Авторство и лицензия

Agentic Awesome Skills — sickn33 и авторы коллекции. Первоисточник: [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill). Описание автора; оригинальная инструкция без изменений. Авторство, исключения и лицензии: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
Оригинал: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/skills/code-audit/SKILL.md
Лицензия: MIT — https://opensource.org/license/mit
Авторство и исключения: https://github.com/sickn33/agentic-awesome-skills/blob/465ad05638fbe1d9e7f98671393396b6d9246393/docs/sources/sources.md
SKILL.md сохранён без изменений. Промпт-обёртка и русские пояснения добавлены КОМЭКСПО. Сохраняйте уведомления авторов и условия лицензии при распространении. Авторы не заявляли об одобрении нашего сервиса. Материал предоставляется без гарантий.

Если распространяете скачанный файл, приложите атрибуцию и требуемые лицензией уведомления автора. При изменении инструкции укажите свои изменения. Условия лицензии

Как это работает

Навык задаёт подход к задаче: например, как редактировать текст или проверять код. Вы выбираете его в чате — ИИ получает эту инструкцию вместе с вашим запросом.

Поддерживаются текст, код и создание сайтов. Навык не подключает новые модели, терминал, MCP или аккаунты. Для изображений и видео используются отдельные инструменты.

Совместимость: Нужны доп. инструменты
Источник: sickn33/agentic-awesome-skills ↗
Версия: 465ad05638fb · фиксируется при добавлении
Лицензия: MIT
Звёзды репозитория: 47 140

Ограничения оригинала

В оригинале есть ссылки на файлы или внешние инструменты. Они не устанавливаются; в чате применяются только инструкции SKILL.md.

Оригинальная инструкция SKILL.md · 1 920 символов

---
name: code-audit
description: "Authorized source-code security review and SAST workflows: Semgrep and CodeQL pattern hunting, dangerous API identification, and fix verification."
risk: safe
source: "https://github.com/zhaoxuya520/reverse-skill"
source_repo: "zhaoxuya520/reverse-skill"
source_type: community
date_added: "2026-08-25"
license: "MIT"
license_source: "https://github.com/zhaoxuya520/reverse-skill/blob/main/LICENSE"
---
# Source Code Security Audit
## When to Use

- Reviewing a codebase for security defects with static analysis.
- Verifying that a vulnerability fix actually removes the flawed pattern.


## 适用场景

- 白盒审计、PR/差分安全审查
- Semgrep / CodeQL / Bandit / gosec 等 SAST
- 危险 API、注入点、鉴权缺失、加密误用
- 与 `supply-chain-security/` 分工：本 skill 偏**自有代码逻辑**，供应链偏依赖与管道

## 工作流

### 1. 范围与威胁模型

```text
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
```

### 2. 自动扫描

```bash
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
```

### 3. 人工验证（MUST）

```text
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
```

### 4. 产出

```text
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号
```

## 工具链

| 工具 | 语言/场景 |
|------|-----------|
| Semgrep | 多语言快速规则 |
| CodeQL | 深数据流（GitHub） |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |

## 参考

- `references/sast-review-checklist.md`
- `../supply-chain-security/` `../api-security/` `../llm-security/`（Agent 代码）

## 路由上下文

**上游**: MASTER R26  
**角色**: `ops/role-map.md` cae  
**下游**: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools

## 任务完成自检

- [ ] 是否人工验证而非只贴扫描器输出？
- [ ] 是否含修复建议？
- [ ] 是否限定在授权仓库范围？
- [ ] Checklist？

## Limitations

- Static analysis produces false positives; manual triage is required.
- Coverage depends on language support of the chosen SAST engine.

> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).

Личный кабинет

Другие возможности