From cc-best
Conducts security reviews using checklists and patterns for authentication, user input, secrets, API endpoints, SQL injection, XSS/CSRF, and rate limiting.
npx claudepluginhub xiaobei930/cc-best --plugin cc-bestThis skill is limited to using the following tools:
> 关联 Agent: `security-reviewer`（安全审查主力）、`code-reviewer`（代码审查中的安全维度）
Audits code security using OWASP Top 10 checklists for input validation, auth/authz, API security, data protection, and logging. Use for secure implementations and vulnerability reviews.
Provides security checklists and patterns for authentication, user input validation (Zod), secrets management, API endpoints, file uploads, and payments.
Provides security checklists and patterns for authentication, user input validation with Zod, secrets management, API endpoints, file uploads, and payment features.
Share bugs, ideas, or general feedback.
关联 Agent:
security-reviewer（安全审查主力）、code-reviewer（代码审查中的安全维度）
本技能确保所有代码遵循安全最佳实践，识别潜在漏洞。
| 类别 | 核心规则 | 检查项 |
|---|---|---|
| 密钥管理 | 环境变量，不硬编码 | .env.local 在 .gitignore，Git 历史无密钥 |
| 输入验证 | Schema 验证（zod/pydantic），白名单 | 文件上传限制（大小/类型/扩展名） |
| SQL 注入 | 参数化查询，不拼接 SQL | ORM 正确使用 |
| 认证授权 | httpOnly cookies，RBAC | Token 不放 localStorage |
| XSS | DOMPurify 净化，CSP 头 | 无未验证的动态渲染 |
| CSRF | CSRF Token，SameSite=Strict | 状态变更操作有保护 |
| 速率限制 | 所有 API 有限制 | 昂贵操作更严格 |
| 敏感数据 | 日志脱敏，通用错误消息 | 堆栈跟踪不暴露 |
| 依赖 | npm audit clean，Lock 已提交 | 启用 Dependabot |
| 命令注入 | execFile 非 exec，shell=False | 不拼接用户输入 |
| 路径遍历 | os.path.basename 过滤 | 不直接拼接路径 |
| 文件 | 内容 |
|---|---|
| owasp-patterns.md | OWASP Top 10 详细防护模式和代码示例 |
| verify-checklist.md | 安全测试示例 + 部署前安全检查清单 |
| cloud-security.md | IAM、密钥管理、CI/CD、网络安全 |
| config-audit.md | 配置审计清单 |
记住：安全不是可选项。一个漏洞可能危及整个平台。有疑问时，选择更安全的方案。