Metago Security Audit

---
name: "metago-security-audit"
description: "安全审计技能。基于OWASP Top 10进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含CVE引用、漏洞等级、修复方案的安全审计报告。遵循A36法律优先于效率原则。"
version: "1.0.0"
author: "MetaGO"
category: "安全合规"
platforms: ["cursor","claude-code","codex","trae","codebuddy","qoder","zcode","workbuddy","qclaw","ima"]
trigger:
  - "安全审计"
  - "漏洞扫描"
  - "OWASP检查"
  - "渗透测试"
  - "依赖安全评估"
---

# 安全审计（metago-security-audit）

## 描述
基于 OWASP Top 10 进行多维度安全审计，检测注入漏洞、认证授权缺陷、敏感信息泄露、依赖漏洞。输出含 CVE 引用、漏洞等级、修复方案的结构化报告。遵循 A36 法律优先于效率原则。

## 触发条件
- 用户请求安全审计、漏洞扫描、渗透测试时激活
- 代码合并前安全审查
- 依赖更新时安全评估
- 与 `metago-compliance` 协同：合规检查时联动安全审计
- 涉及用户数据、支付、权限的功能强制触发

## 核心流程

### 1. OWASP Top 10 检查

#### A01 - 失效的访问控制
- 路径遍历漏洞（../、绝对路径）
- 越权访问（水平/垂直越权）
- 未授权 API 端点
- 缺失权限校验

#### A02 - 加密失败
- 明文传输（HTTP、未加密 WebSocket）
- 弱加密算法（MD5、SHA1、DES）
- 硬编码密钥/证书
- 敏感数据明文存储

#### A03 - 注入
- SQL 注入（拼接查询、未参数化）
- 命令注入（shell 拼接、eval）
- XSS（反射型、存储型、DOM 型）
- LDAP/XPath/NoSQL 注入

#### A04 - 不安全设计
- 缺失威胁建模
- 不安全的业务流程（可重放、可绕过）
- 缺失速率限制（暴力破解、DoS）
- 敏感操作无二次确认

#### A05 - 安全配置错误
- 默认凭证未修改
- 错误信息泄露堆栈/路径
- 不安全的 HTTP 头（缺失 CSP、HSTS）
- 不必要的功能启用（DEBUG、TRACE）

#### A06 - 易受攻击的组件
- 已知 CVE 的依赖
- 过时依赖（超过 N 个版本）
- 未经审计的依赖（无签名、无 SBOM）
- 供应链攻击风险

#### A07 - 认证失败
- 弱密码策略
- 会话管理缺陷（固定会话、不过期）
- 缺失多因素认证（高权限场景）
- 凭证填充防护缺失

#### A08 - 数据完整性失败
- 反序列化漏洞
- 未签名的更新/插件
- CI/CD 管道安全
- 代码注入（include/require 用户输入）

#### A09 - 日志与监控失败
- 安全事件未记录
- 日志包含敏感信息
- 缺失告警机制
- 日志可篡改

#### A10 - 服务端请求伪造（SSRF）
- 用户输入直接用于 URL 请求
- 内网访问未限制
- 协议白名单缺失
- DNS 重绑定

### 2. 依赖漏洞扫描
- 检查 package.json / pom.xml / requirements.txt 依赖版本
- 比对 CVE 数据库
- 评估漏洞可利用性（CVSS 评分）
- 生成升级建议

### 3. 敏感信息检测
- 硬编码密钥（API Key、Token、Password）
- 日志中的敏感数据
- 配置文件中的明文凭证
- Git 历史中的敏感信息

## 漏洞等级标准

| 等级 | CVSS | 含义 | 处理时效 |
|------|------|------|----------|
| 🔴 Critical | 9.0-10.0 | 立即修复（RCE、数据泄露） | 24 小时内 |
| 🟠 High | 7.0-8.9 | 尽快修复（注入、越权） | 7 天内 |
| 🟡 Medium | 4.0-6.9 | 计划修复（信息泄露） | 30 天内 |
| 🔵 Low | 0.1-3.9 | 评估修复（配置优化） | 下个版本 |

## 输出格式

```
【安全审计报告】

## 1. 审计概览
审计范围：[文件/模块/项目]
审计时间：YYYY-MM-DD
总体安全评级：A/B/C/D/F
漏洞统计：Critical=N, High=N, Medium=N, Low=N

## 2. 漏洞详情

### 🔴 Critical
[V-001] [漏洞名称]
  类型：OWASP A0X - [类别]
  位置：file.ext:LXX
  描述：...
  影响：...
  CVE：CVE-2024-XXXX（如适用）
  CVSS：X.X
  修复方案：
    1. ...
    2. ...
  参考标准：...

### 🟠 High
[V-002] ...

### 🟡 Medium
[V-003] ...

### 🔵 Low
[V-004] ...

## 3. 依赖漏洞
| 依赖 | 当前版本 | 漏洞版本 | CVE | CVSS | 建议版本 |
|------|----------|----------|-----|------|----------|
| ... | ... | ... | ... | ... | ... |

## 4. 敏感信息检测
| # | 类型 | 位置 | 风险 | 处理建议 |
|---|------|------|------|----------|
| 1 | 硬编码 API Key | file.ext:LXX | 高 | 移至环境变量 |

## 5. 安全配置检查
| 检查项 | 状态 | 建议 |
|--------|------|------|
| HTTPS 强制 | ✅/❌ | ... |
| CSP 头 | ✅/❌ | ... |
| HSTS | ✅/❌ | ... |
| 速率限制 | ✅/❌ | ... |

## 6. 审计结论
安全状态：✅ 通过 / ❌ 需修复后重新审计
合规状态：符合 / 不符合 [标准名]
优先修复项：V-001, V-002
```

## 与其他技能的协同
- 与 `metago-compliance` 协同：安全审计联动法律/伦理/安全合规检查
- 与 `metago-code-review-deep` 协同：代码审查的安全维度联动安全审计
- 与 `metago-decision-lock` 协同：安全审计报告需通过决策锁校验
- 与 `metago-fact-check` 协同：验证漏洞的可利用性（避免误报）
- 与 `metago-problem-trace` 协同：漏洞根因无限溯源
- 与 `metago-critique` 协同：审计结论需通过批判性分析