security-reviewer

安全性審查技能

描述

基於 OWASP Top 10 和安全最佳實踐，對程式碼進行安全性審查。

觸發條件

• 「安全檢查」「security review」「OWASP」
• 「漏洞掃描」「vulnerability scan」
• PR 審查時自動觸發安全檢查

---

🔒 OWASP Top 10 (2021) 檢查清單

A01: Broken Access Control（失效的存取控制）

檢查項目：

• 路徑遍歷 (Path Traversal)
• 未驗證的重導向
• IDOR (Insecure Direct Object Reference)
• 缺少存取控制檢查

# ❌ 不安全
@app.get("/files/{filename}")
def get_file(filename: str):
    return open(f"/data/{filename}").read()  # Path traversal!

# ✅ 安全
@app.get("/files/{file_id}")
def get_file(file_id: str, current_user: User = Depends(get_current_user)):
    file = db.get_file(file_id)
    if file.owner_id != current_user.id:
        raise HTTPException(403)
    return file.content

A02: Cryptographic Failures（加密機制失效）

檢查項目：

• 敏感資料明文傳輸
• 使用弱加密演算法 (MD5, SHA1)
• 密鑰硬編碼
• 不安全的隨機數生成

# ❌ 不安全
import hashlib
password_hash = hashlib.md5(password.encode()).hexdigest()

# ✅ 安全
from passlib.hash import bcrypt
password_hash = bcrypt.hash(password)

A03: Injection（注入攻擊）

檢查項目：

• SQL Injection
• Command Injection
• LDAP Injection
• XPath Injection

# ❌ SQL Injection
query = f"SELECT * FROM users WHERE id = {user_id}"
cursor.execute(query)

# ✅ 參數化查詢
cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))

A04: Insecure Design（不安全的設計）

檢查項目：

• 缺乏 rate limiting
• 缺乏業務邏輯驗證
• 不安全的密碼重設流程

A05: Security Misconfiguration（安全設定錯誤）

檢查項目：

• Debug 模式在 production 開啟
• 預設帳密未更改
• 不必要的功能啟用
• 錯誤訊息洩漏敏感資訊

# ❌ Production 不應該
app = FastAPI(debug=True)

# ✅ 從環境變數讀取
app = FastAPI(debug=os.getenv("DEBUG", "false").lower() == "true")

A06: Vulnerable Components（易受攻擊的元件）

檢查項目：

• 使用已知漏洞的套件版本
• 未定期更新依賴
• 使用不維護的套件

# 檢查已知漏洞
pip-audit
safety check
npm audit

A07: Authentication Failures（身分驗證失敗）

檢查項目：

• 弱密碼政策
• 暴力破解防護
• Session 管理不當
• 不安全的「記住我」實作

A08: Data Integrity Failures（資料完整性失敗）