Audit Python Web Apps Before Release

Python Web 应用安全审计 Skill 是一套面向 AI 编码助手的可重复安全检查工作流。该 Skill 基于 pytest + httpx + ASGITransport 在进程内对 ASGI 应用发起结构化探测，覆盖身份认证、授权控制、输入校验、响应头、CORS、Cookie、接口限速、错误处理、HTTP 方法等常见安全维度，输出清晰的证据记录和发布决策建议。

【这是什么】

Python Web 应用在上线前往往依赖人工 Code Review 查找安全漏洞，效率低且容易遗漏。该 Skill 将安全测试过程标准化为可配置的自动化检查套件，AI 助手只需输入应用路径和测试边界，即可执行一套结构化探测，并产出带证据的测试报告和明确的发布决策（通过 / 需复查 / 阻断）。检查维度涵盖 OWASP 标准中常见的高风险项，且所有探测默认禁用、需应用负责人明确授权后才启用主动探测，避免对非测试目标造成影响。

【核心能力】

• 内置安全检查套件：覆盖身份认证、授权、输入验证、HTTP 头、CORS、Cookie、限速、错误处理、HTTP 方法及配置检查
• 进程内 ASGI 测试：使用 httpx + ASGITransport 在本地进程发起请求，无需启动完整服务器环境
• 可配置边界与范围：支持设置目标路由、测试账号、来源 Origins、速率阈值和跳过规则，确保只测授权范围
• 证据驱动的发布决策：报告包含 PASS / REVIEW REQUIRED / BLOCKED 三级结论，附带失败详情、严重等级和修复建议
• 主动探测需授权：所有主动渗透类探测默认关闭，防止误伤生产环境

【适用场景】

• 上线前安全回归测试：在 FastAPI、Django 或适配了 ASGI 的 Flask 项目中快速运行安全回归
• 第三方开源项目安全评估：对接入的 Python 库或微服务进行标准化安全检查
• 安全基线验证：建立团队统一的安全测试基线，每次发布前必须通过指定检查项
• 合规性文档支撑：为安全合规报告提供可验证的测试证据和决策记录

【谁适合用】

后端工程师在发布 Python 微服务前进行自检；安全团队建立自动化安全门禁；DevOps 在 CI/CD 流水线中集成安全检查步骤；技术负责人建立团队统一的安全测试规范。需要注意的是，该 Skill 不覆盖部署层 TLS、反向代理、WAF 和云配置等基础设施安全。

【使用限制】

需要目标应用支持 ASGI（Flask 需额外适配 ASGI 包装器）。不测试部署层 TLS、反向代理、云配置等基础设施层面安全。主动探测需要应用所有者明确授权且在隔离的非生产环境执行。以太坊或非 HTTP 协议的应用超出测试范围。

【安装方式】

npx skillstore add glenskii/python-web-app-security-audit，安装后 AI 助手可读取 bundled 安全套件内容并直接接入项目执行检查。

【质量说明】

Quality Score 90（Featured Tier），Skillstore 安全审计完成，审核日期 2026-08-10，所有静态告警均为文档示例误报。