WeReply: Skill for Claude Code

安全审查 Skill

核心目标

在代码提交前识别和防止常见安全漏洞（针对 Tauri 桌面应用）。

---

桌面应用安全重点

本项目是 Tauri 桌面应用，安全重点与 Web 应用不同：

• ✅ 重点：本地数据保护、API 密钥管理、Tauri 命令安全、SQL 注入防护
• ❌ 不适用：CSRF、CSP（这些是 Web 应用的安全措施）

---

安全检查清单

1. 密钥管理 ✓

• 无硬编码 API 密钥
• 无硬编码密码
• 无硬编码 tokens
• 所有密钥使用环境变量
• 敏感配置已加密存储

✓ 正确示例：

use std::env;

let api_key = env::var("OPENAI_API_KEY")
    .context("OPENAI_API_KEY 环境变量未设置")?;

✗ 错误示例：

const API_KEY: &str = "sk-1234567890";  // ✗ 硬编码密钥

---

2. Tauri 命令安全 ✓

• 所有命令参数已验证
• 使用 validator crate 验证输入
• 敏感操作有权限检查
• 错误消息不暴露内部信息

✓ 正确示例：

use validator::Validate;

#[derive(Deserialize, Validate, Type)]
pub struct CreateFormulaDto {
    #[validate(length(min = 2, max = 50))]
    pub name: String,

    #[validate(length(equal = 3))]
    pub species_code: String,
}

#[tauri::command]
#[specta::specta]
pub async fn create_formula(
    dto: CreateFormulaDto,
    state: State<'_, TauriAppState>,
) -> ApiResponse<Formula> {
    // 验证输入
    if let Err(e) = dto.validate() {
        return api_err(format!("输入验证失败: {}", e));
    }

    // 处理逻辑...
}

---

3. SQL 注入防护 ✓

• 使用 SQLx 参数化查询
• 禁止字符串拼接 SQL
• 动态查询使用 QueryBuilder

✓ 正确示例：

// 参数化查询
sqlx::query_as!(
    Formula,
    "SELECT * FROM formulas WHERE name = ?",
    name
)
.fetch_one(&self.pool)
.await?;

// 动态查询使用 QueryBuilder
let mut query = QueryBuilder::new("SELECT * FROM formulas WHERE 1=1");
if let Some(name) = filters.name {
    query.push(" AND name LIKE ");
    query.push_bind(format!("%{}%", name));
}

✗ 错误示例：

// ✗ 字符串拼接 SQL
let sql = format!("SELECT * FROM formulas WHERE name = '{}'", name);

---

4. 输入验证 ✓

• 前端验证（第一道防线）
• 后端验证（必须有）
• 文件上传验证类型和大小
• 路径验证防止路径遍历

前端验证：

<Form.Item
  name="name"
  rules={[
    { required: true, message: '请输入配方名称' },
    { min: 2, max: 50, message: '名称长度为 2-50 个字符' },
    { pattern: /^[\u4e00-\u9fa5a-zA-Z0-9_-]+$/, message: '只能包含中文、字母、数字、下划线和连字符' }
  ]}
>
  <Input />
</Form.Item>