Was macht security-audit-skill?
Agent-Fähigkeit für PHP-Sicherheitsaudits – OWASP-Muster, Schwachstellenerkennung | Claude Code kompatibel
Beschreibung
Diese Fähigkeit befähigt einen KI-Agenten (wie Claude Code, Cursor, Codex), PHP-Code auf häufige Sicherheitslücken zu überprüfen. Sie nutzt OWASP-Risikomuster und statische Analysetechniken, um Schwachstellen wie die folgenden zu identifizieren:
- SQL-Injection
- Cross-Site Scripting (XSS)
- Unsichere Dateioperationen
- Mangelhafte Authentifizierung
- Unsichere Deserialisierung
- Und viele weitere
Nutzung
- Kopieren Sie die Datei
SKILL.mdin das Stammverzeichnis Ihres Projekts (oder einen Unterordner). - Der Agent erkennt die Fähigkeit automatisch und wendet sie beim Scannen von PHP-Dateien an.
- Führen Sie einen Sicherheitsscan mit dem Agenten durch, z. B. über einen Prompt wie:
Führe einen Sicherheitsaudit des PHP-Codes in diesem Repository durch.
Unterstützte Plattformen
- Claude Code
- Cursor
- Codex CLI
- Andere KI-Entwicklungstools, die SKILL.md-Definitionen unterstützen
Funktionsweise
Die Fähigkeit definiert eine Reihe von Regeln und Mustern, die typische Sicherheitslücken in PHP-Code erkennen. Der Agent durchsucht PHP-Dateien nach verdächtigen Codemustern – wie die Verwendung von $_GET ohne Filterung, direkte Datenbankabfragen ohne Prepared Statements oder unsichere file_get_contents()-Aufrufe. Gefundene Schwachstellen werden mit Dateipfad, Zeilennummer und einer Risikobeschreibung gemeldet.
Beispielausgabe
Sicherheitsaudit abgeschlossen – 3 Schwachstellen gefunden:
1. /src/login.php:42 – SQL-Injection: Nutzung von `$_POST` in SQL-Abfrage ohne Prepared Statement.
2. /src/profile.php:18 – Reflektiertes XSS: `$_GET['name']` wird direkt in HTML ausgegeben.
3. /src/file.php:10 – Unsichere Dateioperation: `file_get_contents($_GET['file'])` erlaubt Directory Traversal.
Wartung und Erweiterung
Sie können die Regeln und Muster in der SKILL.md anpassen oder erweitern, um projektspezifische Sicherheitsrichtlinien abzudecken. Änderungen werden automatisch vom Agenten beim nächsten Scan übernommen.
Lizenz
MIT