Post Edit Security Review

---
name: post-edit-security-review
description: >
  在整个编码任务完成后（所有文件修改均已完成、即将结束本次回复时），必须主动调用此技能执行一次安全审查。
  满足以下任意一条时必须激活：
  (1) 完成了代码新增、功能实现、bug 修复或重构，即将输出最终回复；
  (2) 使用了 Write/Edit/NotebookEdit 等工具修改了源代码文件。
  不要在每次写入单个文件后调用，整个任务的最后一步调用一次。
  不要在仅回答问题、阅读文件、执行 git 操作时激活。
  此技能是代码交付前的最后一道安全防线，聚焦于发现并修复本次任务引入的安全漏洞。
---

# 代码修改后安全审查规范

## 技能目标

**在代码变更完成后立即进行安全扫描，发现并修复已引入的安全漏洞，确保交付的代码不含已知安全风险。**

代码修改完成后是拦截安全漏洞的关键时机——在代码合并或上线前发现并修复漏洞，远比上线后应急响应的代价低。

---

## 工作流程

按以下四步执行代码安全审查。**每一步均必须执行，不可跳过。**

---

### 第一步：识别本次变更的代码范围

明确本次修改涉及的所有文件和代码片段：

- 列出所有被新增或修改的文件路径
- 标注每个文件中变更的核心逻辑（新增函数、修改逻辑、新增依赖等）
- 判断变更涉及的技术栈（Web 后端 / C/C++ 系统代码 / JavaScript/TypeScript / IaC 基础设施配置 / 其他）

---

### 第二步：按技术栈扫描安全漏洞

根据第一步识别的技术栈，逐类检查下列安全风险。**对每一个适用的风险类型，读取对应的参考文档后再执行检查。**

#### 2A：Web 后端代码安全检查

适用场景：变更涉及 Web 接口、数据库访问、用户输入处理、文件操作、外部 HTTP 请求、命令执行、模板渲染、XML 解析、反序列化、认证鉴权。

| 风险类型 | 检查要点 | 参考文档 |
|---|---|---|
| Query Language 注入 | 是否存在字符串拼接构造 SQL/HQL/NoSQL | `../prevent-web-security-bugs/references/prevent-ql-injection.md` |
| 越权访问 | 按资源 ID 操作前是否校验当前用户权限 | `../prevent-web-security-bugs/references/prevent-unauthorized-access.md` |
| SSRF | 服务端 HTTP 请求目标是否来自用户输入且未过滤内网地址 | `../prevent-web-security-bugs/references/prevent-ssrf.md` |
| 路径遍历 | 文件路径是否由用户输入拼接且未规范化 | `../prevent-web-security-bugs/references/prevent-path-traversal.md` |
| OS 命令执行 | 系统命令中是否包含未转义的用户输入 | `../prevent-web-security-bugs/references/prevent-os-command-execution.md` |
| 代码执行 | 是否动态执行了来自用户输入的脚本或表达式 | `../prevent-web-security-bugs/references/prevent-code-execution.md` |
| 模板注入 | 模板引擎是否渲染了用户可控内容 | `../prevent-web-security-bugs/references/prevent-template-injection.md` |
| 反序列化 | 反序列化的数据是否来自不可信来源 | `../prevent-web-security-bugs/references/prevent-deserialization.md` |
| 凭据硬编码 | 是否有密码、密钥、Token 直接写入代码 | `../prevent-web-security-bugs/references/prevent-hardcoded-credentials.md` |
| XXE | XML 解析器是否禁用了外部实体 | `../prevent-web-security-bugs/references/prevent-xxe.md` |

#### 2B：C/C++ 代码安全检查

适用场景：变更涉及 C/C++ 内存操作、字符串处理、文件读写、系统调用、多线程。

| 风险类型 | 检查要点 | 参考文档 |
|---|---|---|
| 缓冲区溢出 | 缓冲区读写是否有长度约束 | `../prevent-c-cpp-security-bugs/references/prevent-buffer-overflow.md` |
| UAF | free/delete 后指针是否置空，后续是否继续使用 | `../prevent-c-cpp-security-bugs/references/prevent-use-after-free.md` |
| Double free | 同一块内存是否可能被释放两次 | `../prevent-c-cpp-security-bugs/references/prevent-double-free.md` |
| 格式化字符串漏洞 | 格式化函数参数是否来自不可信输入 | `../prevent-c-cpp-security-bugs/references/prevent-format-string-vuln.md` |
| 整数溢出/下溢 | 内存分配、数组索引计算是否可能溢出 | `../prevent-c-cpp-security-bugs/references/prevent-integer-overflow-underflow.md` |
| 符号扩展/类型转换 | 有符号数和无符号数混合运算是否安全 | `../prevent-c-cpp-security-bugs/references/prevent-signedness-bugs.md` |
| 条件竞争 | 多线程对共享资源的访问是否正确同步 | `../prevent-c-cpp-security-bugs/references/prevent-race-condition.md` |
| 危险函数调用 | 是否使用了 gets/strcpy/sprintf 等危险函数 | `../prevent-c-cpp-security-bugs/references/prevent-potential-dangerous-function.md` |
| QL 注入 | 是否拼接了数据库查询语句 | `../prevent-c-cpp-security-bugs/references/prevent-ql-injection.md` |
| 路径遍历 | 文件路径是否由用户输入拼接 | `../prevent-c-cpp-security-bugs/references/prevent-path-tranversal.md` |
| OS 命令执行 | system/popen/execve 是否包含用户输入 | `../prevent-c-cpp-security-bugs/references/prevent-os-command-execution.md` |

#### 2C：JavaScript/TypeScript 代码安全检查

适用场景：变更涉及 JavaScript/TypeScript 代码，包括 Node.js 后端、前端页面、构建脚本等。

| 风险类型 | 检查要点 | 参考文档 |
|---|---|---|
| Query Language 注入 | 是否拼接 SQL/NoSQL 查询语句 | `../prevent-js-security-bugs/references/prevent-ql-injection.md` |
| OS 命令注入 | child_process.exec 等是否包含用户输入 | `../prevent-js-security-bugs/references/prevent-os-command-execution.md` |
| 代码注入 | 是否使用 eval/new Function/动态 require 执行非字面量字符串 | `../prevent-js-security-bugs/references/prevent-code-injection.md` |
| 原型链污染 | 递归合并或深拷贝时键名是否来自用户输入 | `../prevent-js-security-bugs/references/prevent-prototype-pollution.md` |
| XSS | 用户输入是否未转义直接插入 DOM 或 HTML 模板 | `../prevent-js-security-bugs/references/prevent-xss.md` |
| 路径遍历 | 文件路径是否由用户输入拼接且未规范化 | `../prevent-js-security-bugs/references/prevent-path-traversal.md` |
| SSRF | 服务端 HTTP 请求目标是否由用户输入控制 | `../prevent-js-security-bugs/references/prevent-ssrf.md` |
| 不安全反序列化 | 是否反序列化来自不可信来源的数据 | `../prevent-js-security-bugs/references/prevent-deserialization.md` |
| 弱随机数 | 是否使用 Math.random() 生成安全敏感值 | `../prevent-js-security-bugs/references/prevent-weak-random.md` |
| PostMessage Origin 校验缺失 | 接收跨窗口消息时是否校验 event.origin | `../prevent-js-security-bugs/references/prevent-postmessage-origin.md` |
| 时序攻击 | 是否使用 === 比较 HMAC/Token 等安全敏感字符串 | `../prevent-js-security-bugs/references/prevent-timing-attack.md` |
| ReDoS | 是否存在嵌套量词或用户输入构造的动态正则 | `../prevent-js-security-bugs/references/prevent-redos.md` |
| Buffer 安全问题 | 是否使用已废弃的 new Buffer 或 allocUnsafe 未填充 | `../prevent-js-security-bugs/references/prevent-buffer-issues.md` |
| 不安全传输 | 是否通过 HTTP 加载外部资源或请求 API | `../prevent-js-security-bugs/references/prevent-insecure-transport.md` |
| 硬编码凭证 | 是否将 API Key/密码/密钥直接写入源代码 | `../prevent-js-security-bugs/references/prevent-hardcoded-secrets.md` |

#### 2D：IaC 基础设施配置安全检查

适用场景：变更涉及 Kubernetes YAML、Dockerfile、docker-compose、Helm chart、Terraform 等基础设施配置文件。

| 风险类型 | 检查要点 | 参考文档 |
|---|---|---|
| 特权容器与 root 运行 | 容器是否以特权模式或 root 用户运行 | `../prevent-iac-security-bugs/references/prevent-privileged-containers.md` |
| 凭据硬编码 | env/ConfigMap/Dockerfile 中是否含明文密码或密钥 | `../prevent-iac-security-bugs/references/prevent-hardcoded-secrets.md` |
| 网络暴露与策略缺失 | Service 类型是否合理，是否配置 NetworkPolicy | `../prevent-iac-security-bugs/references/prevent-network-exposure.md` |
| Dockerfile 安全 | 是否存在 ADD 替代 COPY、未指定 USER、缺少 HEALTHCHECK 等问题 | `../prevent-iac-security-bugs/references/prevent-dockerfile-security.md` |
| RBAC 过度授权 | Role/ClusterRole 是否使用通配符或过度授权 | `../prevent-iac-security-bugs/references/prevent-rbac-misconfiguration.md` |
| 宿主机路径挂载 | 是否挂载 hostPath 或 Docker socket 导致逃逸风险 | `../prevent-iac-security-bugs/references/prevent-host-path-mount.md` |
| Capabilities 滥用 | 是否授予了不必要的 Linux Capabilities | `../prevent-iac-security-bugs/references/prevent-capabilities-misconfiguration.md` |

---

### 第三步：输出审查结论

完成所有适用的安全检查后，按以下格式输出结论：

#### 情况一：发现安全漏洞

```
## 安全审查结果：发现 {N} 个安全问题

| # | 文件 | 行号 | 漏洞类型 | 风险等级 | 问题描述 |
|---|---|---|---|---|---|
| 1 | path/to/file.java | L42 | SQL 注入 | 高危 | 直接拼接用户输入构造 SQL 查询 |
| 2 | path/to/file.java | L78 | 越权访问 | 高危 | 未校验当前用户是否有权限访问该资源 |

正在修复上述问题...
```

随后立即进入第四步执行修复。

#### 情况二：未发现安全漏洞

```
## 安全审查结果：未发现安全漏洞

已检查以下风险类型：{列出实际检查的风险类型}
本次修改的代码符合安全编码规范，审查完成。
```

审查结束，无需执行第四步。

---

### 第四步：修复安全漏洞（仅在发现漏洞时执行）

对第三步列出的每个漏洞，按以下原则修复：

- **精准修复**：仅修改存在漏洞的代码，不扩大改动范围
- **参照规范**：依据第二步读取的参考文档中的安全 API 和防御模式进行修复
- **保持功能**：修复后代码逻辑与原始需求保持一致，不引入功能回归
- **修复验证**：修复完成后，针对同一风险类型重新检查，确认漏洞已消除

修复完成后，输出修复摘要：

```
## 修复摘要

| # | 漏洞类型 | 修复方式 | 状态 |
|---|---|---|---|
| 1 | SQL 注入 | 改用参数化查询（PreparedStatement） | 已修复 |
| 2 | 越权访问 | 在查询前增加 userId 归属校验 | 已修复 |

所有安全问题已修复，审查完成。
```

---

## 审查原则

- **完整覆盖**：本次变更涉及多少文件，就审查多少文件，不遗漏
- **按需查阅**：每个识别出的风险类型，必须先读取对应参考文档再判断，避免误判
- **零容忍高危**：高危/严重风险必须修复，不可以注释或文档说明代替修复
- **最小化改动**：修复只改有问题的代码，不借机重构无关逻辑