web-vuln-audit

Web 项目漏洞代码审计 Skill

对 Go / Java / Python / PHP / JavaScript Web 项目进行系统化源码安全审计，输出可交付的审计报告 + 每条漏洞的并行验证报告（真实漏洞 PoC 或误判说明）。

---

核心约束（强制遵守）

1. 报告输出路径 = {TARGET_PROJECT}/reports/（被审计项目根目录，不是 skill 仓库内）。主审计报告命名 {project-name}-audit-{YYYY-MM-DD}.md。
2. 只审计 High / Medium。Low 漏洞一律不写入报告（即使发现也跳过）。
3. 审计报告必须含「项目文件树 + 审计标记」章节：全部目录到文件，仅源码文件（.go / .java / .kt / .scala / .py / .php / .js / .ts）标记 (审计) / (未审计)，其他文件类型无标记。
4. Phase 4 子 Agent 必须并行 spawn：在单次响应中通过多个 Agent 工具调用并行启动（不是串行）。
5. PoC 验证优先真实运行：从被审计项目 README 提取 docker / docker-compose 启动指令，实际拉起环境并发送真实 HTTP 请求复现；失败再降级为静态代码证明，并在报告中显式标注「未运行验证，仅静态推理」。
6. PoC / FP 报告命名：真实漏洞 → poc-V-{NNN}.md；误判 → fp-V-{NNN}.md，与主审计报告共存于 reports/。
7. Phase 3 主审计和 Phase 3.5 二次扫描必须遵守 Agent Contract：包括工具约束（Grep/Glob/Read，禁 Bash grep/find/cat）、Turn 预留规则（max_turns - 3 时停止探索并产出输出）。详见下方「工具使用约束」章节。

---

工具使用约束（Agent Contract）

以下约束适用于 Phase 3 主审计、Phase 3.5 二次扫描 和 Phase 4 子 Agent。每条规则都是强制性的。

1. 工具约束

约束	详情
搜索	必须使用 Grep（ripgrep 模式，1-3 秒）定位，Glob 匹配文件名，Read 读文件
禁止写法	Bash 中的 grep / find / cat（性能退化）
超时	Bash timeout ≤30s。Grep 超时 → 缩小 path → 连续失败 2 次 → 跳过

2. Turn 预留规则

Phase 3 主审计:
  max_turns = 30（根据项目规模调整：小项目 20，大项目 40）
  turns_used ≥ max_turns - 3 时：立即停止探索，产出结构化输出
  不得将最后 3 个 turn 用于新的 Grep/Read 探索

Phase 3.5 二次扫描:
  max_turns = 20（聚焦搜索，比对主审计少）
  turns_used ≥ max_turns - 3 时：立即停止搜索，产出结构化输出
  不得将最后 3 个 turn 用于新的 Grep/Read 探索

Phase 4 子 Agent:
  max_turns = 15（单漏洞验证，任务聚焦）
  turns_used ≥ max_turns - 3 时：立即停止验证，产出判定结果

违反 Turn 预留将导致输出丢失，整个 Agent 的发现可能被截断。

输入

用户提供（或采用默认）：

• target_project：被审计项目的根目录路径。默认为当前工作目录。
• 可选：scope（审计范围，如 internal/、src/main/java/），不指定则全量。

输出

写入到 {target_project}/reports/：

• {project}-audit-{YYYY-MM-DD}.md —— 主审计报告（漏洞清单 + 文件树 + 详细发现 + 验证汇总）
• poc-V-{NNN}.md —— 每个真实漏洞一份独立 PoC 报告
• fp-V-{NNN}.md —— 每个误判一份误判说明

---

执行流程

Phase 0 — 输入解析

1. 解析 target_project（缺省 = pwd）
2. 创建输出目录：mkdir -p {target}/reports/
3. 记录审计起始时间，确定主报告文件名 {project}-audit-{YYYY-MM-DD}.md