Claude Code 也能做全链路安全审查？这个 OWASP Skill 把 2026 最新标准搬进 IDE

Claude Code 写代码很爽，但你知道 AI 编程工具本身也有一整套安全风险吗？Prompt 注入、工具滥用、权限失控……这些在传统开发里不存在的坑，Agent 时代全冒出来了。

今天挖到一个硬核 Skill——OWASP Security Skill，作者把 OWASP 2025-2026 全套安全标准直接做进了 Claude Code 的工作流里，开发者不用离开 IDE 就能做全链路安全审查。

这个 Skill 到底管什么？

它不是一个普通的检查清单，而是一套渐进式加载的安全知识库。SKILL.md 永远是加载的核心，包含：

• OWASP Top 10:2025 — Web 应用漏洞速查
• OWASP ASVS 5.0 — 安全验证标准，按验证级别分类
• OWASP Top 10 for LLM Applications (2025) — LLM/RAG/工具调用类应用特有风险
• OWASP Agentic AI Security (2026) — ASI 01-10，专管 AI Agent 的 10 大风险
• 20+ 语言的安全 quirks — JavaScript、Python、Rust、Go……每个语言都有不安全/安全写法对照
• 安全代码审查清单 — 输入处理、认证、访问控制、数据保护全覆盖

进到 reference/ 目录还有更深的语言细节和完整标准文档，按需加载，不吃上下文窗口。

实际用起来是什么体验？

装好之后，Claude Code 会自动识别安全相关场景并激活 Skill。比如你写了一个文件上传接口，直接问 Claude：”这个实现有什么安全问题？”它就会调用 Skill 里的检查清单对照分析。

更有价值的是 ASI 系列检查——专门针对 Agent 系统的 10 大风险：

• ASI-01：Prompt 注入防护
• ASI-02：工具使用治理
• ASI-03：权限边界控制
• ASI-09：供应链完整性
• ASI-10：行为异常监控

这套东西对于正在搭 Agent 系统的团队来说，是目前能找到的最完整的实战标准。

怎么装？

一行命令搞定：

npx degit agamm/claude-code-owasp/.claude/skills/owasp-security ~/.claude/skills/owasp-security

装完整仓库也行，复制对应的 Skill 目录即可。MIT 协议，商用无压力。

值不值用？

OWASP 这套标准本身在安全圈就是共识性最强的规范之一，能直接整合进 Claude Code 工作流、随叫随用，对于AI Native 开发团队来说是实打实的安全网。349 个 GitHub star 说明已经有人在生产环境验证过了。

如果你用 Claude Code 写生产级代码，这个 Skill 值得一直开着。

GitHub 仓库 →

GitHub: https://github.com/agamm/claude-code-owasp