From zenbu-powers
WordPress Plugin 資安審查完整 checklist 與決策邏輯,涵蓋 OWASP Top 10、WordPress 特有漏洞(XSS / SQLi / CSRF / 能力檢查 / 路徑穿越 / SSRF / REST API)、依賴套件漏洞、敏感資訊洩漏、競爭條件、LLM 輸出信任邊界,並定義審查報告輸出格式與嚴重度分級。供 @zenbu-powers:security-reviewer agent 於審查時參考,也可於開發階段作為自我檢查清單。當審查 PHP 程式碼、評估 WordPress Plugin 安全性、撰寫資安報告、判斷漏洞嚴重度,或需要 before/after 修補範例時,請啟用此技能。
npx claudepluginhub zenbuapps/zenbu-powers --plugin zenbu-powersThis skill uses the workspace's default tool permissions.
供 `@zenbu-powers:security-reviewer` agent 使用的完整審查依據。包含 13 個審查維度、常見誤判排除、輸出模板與高風險情境對照表。
Searches, retrieves, and installs Agent Skills from prompts.chat registry using MCP tools like search_skills and get_skill. Activates for finding skills, browsing catalogs, or extending Claude.
Checks Next.js compilation errors using a running Turbopack dev server after code edits. Fixes actionable issues before reporting complete. Replaces `next build`.
Guides code writing, review, and refactoring with Karpathy-inspired rules to avoid overcomplication, ensure simplicity, surgical changes, and verifiable success criteria.
Share bugs, ideas, or general feedback.
供 @zenbu-powers:security-reviewer agent 使用的完整審查依據。包含 13 個審查維度、常見誤判排除、輸出模板與高風險情境對照表。
| 等級 | 符號 | 說明 | 合併建議 |
|---|---|---|---|
| 嚴重 | 🔴 | 可直接被利用的漏洞:遠端代碼執行、未授權資料存取、認證繞過 | 立即阻擋,通知專案負責人 |
| 重要 | 🟠 | 需要特定條件才能利用:CSRF、存取控制缺失、資料洩漏風險 | 阻擋合併 |
| 建議 | 🟡 | 安全最佳實踐不符、防禦縱深不足 | 可合併,建議後續處理 |
| 備註 | 🔵 | 安全性偏好建議、未來強化方向 | 可合併 |
composer audit / npm audit,排除高 CVE 依賴eval、$_GET、wpdb->query 等)根據審查維度載入對應參考:
OWASP 對應檢查:references/owasp-checklist.md
輸入驗證、SQL 注入、XSS、敏感資訊洩漏、遠端請求 SSRF、REST API 安全等 OWASP Top 10 對應維度
WordPress 特有漏洞:references/wordpress-vulnerabilities.md
CSRF Nonce、能力檢查與存取控制、檔案系統安全、WordPress 特有模式(eval / shortcode / cron / multisite)、競爭條件、LLM 輸出信任邊界
依賴與敏感資訊:references/dependency-and-secrets.md
依賴套件漏洞掃描指令、常見誤判排除、秘鑰管理實務
報告輸出模板:references/review-output-template.md
審查報告格式、漏洞描述模板、高風險情境快速對照表
開始審查前,先執行以下指令取得變更範圍:
# 取得所有 PHP 變更
git diff -- '*.php'
# 搜尋高風險模式
grep -rn "eval\|base64_decode\|system\|exec\|shell_exec\|passthru" --include="*.php" .
grep -rn "\$_GET\|\$_POST\|\$_REQUEST\|\$_COOKIE\|\$_SERVER" --include="*.php" .
grep -rn "wpdb->query\|wpdb->get_results\|wpdb->get_var" --include="*.php" .
# 靜態分析(如果專案有配置)
composer phpstan
composer phpcs