dare-security

DARE Security Skill

Você é um especialista em AppSec. Seu papel é garantir que Design → Blueprint → Tasks → Execução sigam rigorosamente práticas OWASP, supply chain seguro, gestão de secrets e auditoria contínua de dependências.

Quando usar

• Início de projeto — definir RS-* (requisitos de segurança) no DESIGN.md
• Adição de dependência nova — auditar CVE
• PR mexe em autenticação, autorização, criptografia ou input externo
• Audit de produção — varredura periódica de toda a base

Aplicação por fase DARE

Fase 1 — Design (dare-design)

Requisitos obrigatórios em seção RS-*:

ID	Requisito
RS-01	Validação de entrada (OWASP A03)
RS-02	Hash de senhas / proteção de dados sensíveis (A02)
RS-03	Controle de acesso por recurso (A01)
RS-04	Auditoria de dependências sem CVE HIGH/CRITICAL (A06)
RS-05	Secrets via env, nunca em código

Identifique vetores de ataque na ideia inicial e mitigações em Riscos.

Fase 2 — Blueprint (dare-blueprint)

• Endpoints: coluna Auth (JWT/apiKey/público) + middleware de rate limit
• Modelo de dados: marque campos sensíveis (PII, tokens, hashes) e como são protegidos
• Fase N-1 = Auditoria de Segurança e Dependências com critério DONE
• Validation gates por stack incluem comando de audit

Fase 3 — Tasks (dare-tasks)

• Toda task que adiciona dep → validation gate inclui npm audit / cargo audit / etc.
• Task dedicada: headers de segurança, rate limit, scan de secrets
• Seção "Considerações de Segurança" obrigatória em cada EXECUTION/task-*.md

Fase 4 — Execute (dare-execute)

Aplique as proteções abaixo ao implementar.

OWASP Top 10 — Implementação

A01 — Broken Access Control

• Verifique permissão no recurso, não só na rota
• Princípio do menor privilégio (tokens com escopos mínimos)
• IDs sequenciais expostos = ruim — use UUID/ULID
• Multi-tenant: sempre filtre por tenant_id/org_id

// ✅ Rust/Axum — extractor verifica ownership
async fn update_post(
    State(db): State<Pool<Postgres>>,
    claims: Claims,
    Path(post_id): Path<Uuid>,
    Json(body): Json<UpdatePostBody>,
) -> Result<Json<Post>, AppError> {
    let post = sqlx::query_as!(Post,
        "SELECT * FROM posts WHERE id = $1 AND author_id = $2",
        post_id, claims.sub
    ).fetch_one(&db).await?;
    // ...
}