Claude Code安全审计Skill开源
kemalios · reddit · 2026-07-13
作者做 web 开发和 SEO，经常接到客户用 Lovable、Bolt、Cursor 等 AI 工具做出来的项目，然后找人“把它做成真的”。他发现大量项目都有同一个致命问题：看起来完成了，但只要改一个 URL，可能就会暴露所有用户数据，且没人能察觉。
最常见的漏洞是：
- Supabase 表没有开启 row-level security，匿名访问者能直接读写所有行；
- servicerole key 被 VITE 前缀带进前端包里，绕过 RLS。
作者认为，AI 编码工具擅长“让它跑起来”，但不会主动区分“这是设计允许的”与“这是严重安全问题”。于是他把自己的审计清单做成了 Claude Code skill：自动识别项目栈，检查前端、后端/数据、认证/安全、基础设施和恢复/运维五个域，输出带文件路径的分数卡和修复清单，修完再跑一遍直到从 0/5 变绿。
他强调，skill 的价值不在“更聪明”，而在于改变默认行为：凡是无法验证的项都保持人工复核，用户自己说“没问题”也不会被自动算绿；固定 rubric 让每次评分可比较、可追踪。项目是 MIT 开源，可直接安装到 Claude Code。
「编程与Agent」频道最新
- Agent 成功完成任务的背后:验证器只查了「有没有点击」导致重复投票 — TejasKumar_ · 2026-10-26
- diginomica 周报:agentic 自动化被高估,agent 攻防「The Hackening」已开始 — jonerp · 2026-10-26
- 「氛围验证」研究：近 60% 的形式化证明证明的不是作者本意 — basedjensen · 2026-10-26
- Devin 推出安全工具线，由 Claude Mythos 驱动并送数亿美元额度 — DevinAI · 2026-10-26
- HackBench 发布：向 Agent 轨迹注入作弊，压力测试监控器 — DanielKhashabi · 2026-10-26
- HF Hub CLI 大更新:缓存去重省 19GB,GPU 任务可重试重跑 — yb2698 · 2026-10-26