websec-audit-expert Skill 技能

技能简介

websec-audit-expert 是一款面向 Claude Code / Codex 等 AI 编程助手的渗透测试代码静态安全审核技能（Skill）。开发者将技能安装至本地 AI 编程工具后，只需说一句「使用 $websec-audit-expert 审核下当前项目」，即可对项目代码进行全面的静态安全审计，无需配置额外扫描器或手动编写检测规则。

核心能力

• OWASP Top 10 全覆盖：内置 30 余项安全检测规则，覆盖 Web 应用所有常见漏洞类型
• 零配置启动：安装后直接通过自然语言触发，无需编写配置文件或启动扫描服务
• 多语言代码支持：可对 JavaScript、TypeScript、Python、Java、Go 等主流语言项目进行审计
• CVE 漏洞检测：自动识别第三方依赖组件及框架中的已知安全漏洞（CVEs）
• 详细修复建议：每项漏洞均附带具体修复方案，而非仅报告问题

安装配置

1. 找到本地 Claude Code 或 Codex 的技能存放目录（通常为 ~/.codex/skills/）
2. 在该目录下创建文件夹 websec-audit-expert
3. 将 GitHub 仓库中的技能定义文件放入目录
4. 重启 Claude Code / Codex 使技能生效

触发方式：在对话中直接输入「使用 $websec-audit-expert 审核下当前项目」即可启动审核。

使用步骤

1. 在 Claude Code / Codex 中打开待审核的项目代码目录
2. 输入触发指令
3. 技能自动扫描项目所有源码文件和依赖配置
4. 逐条输出漏洞报告（包含漏洞类型、严重程度、文件位置、影响分析、修复建议）
5. 根据修复建议修改代码后，可再次触发审核验证修复效果

支持检测的漏洞类型

注入类漏洞：SQL 注入与 NoSQL 注入、系统命令注入（RCE）、服务器端模板注入（SSTI）、表达式注入

认证与授权漏洞：水平越权（IDOR）、垂直越权、Session/JWT 属性缺失与签名校验漏洞、登录验证码绕过与接口暴力破解、重置密码 Token 可预测或长期有效

数据与隐私漏洞：硬编码密钥与敏感配置文件泄漏、不安全加密实现（弱随机数、弱算法）、日志敏感信息泄露、调试模式未关闭与错误堆栈泄漏

客户端与接口漏洞：反射型、存储型与 DOM 型 XSS、富文本过滤绕过与危险 HTML 渲染、跨站请求伪造（CSRF）、CORS 跨域资源共享配置错误、点击劫持（Clickjacking）

基础设施漏洞：第三方依赖组件及框架已知漏洞（CVE）、容器镜像与基础设施配置缺陷、Web 服务器配置缺陷（目录遍历、缺少安全响应头）

业务逻辑漏洞：支付与交易逻辑漏洞（负数、状态机跳步）、并发竞态条件（重放、刷券、超卖）、短信与邮件接口滥用（未限流）、多租户数据隔离失效缺陷

适用人群

• 安全工程师：在代码评审环节快速定位安全风险，无需手动逐文件审查
• 后端开发者：在上线前自行做安全自查，减少生产环境漏洞暴露
• AI 编程工具用户：将安全审核融入 AI 辅助编码工作流，提升交付代码安全性
• DevSecOps 团队：作为 CI/CD 流水线前的安全 gate，自动拦截高危漏洞代码

工作原理

websec-audit-expert 本质上是一组结构化的安全审核 prompt 规则集，定义了 30 余类漏洞的检测逻辑与输出格式。当用户触发技能后，Claude Code/Codex 会将当前项目代码与技能规则进行匹配，通过代码语义分析（而非传统静态分析工具的语法树）来识别潜在漏洞，并结合上下文判断是否为真实风险，最终输出漏洞报告和修复建议。这种基于 LLM 推理的审计方式，能够发现传统工具难以检测的业务逻辑漏洞和认证缺陷。

官方链接

• GitHub 仓库：https://github.com/sfz009900/websec-audit-expert_public