code-audit
Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
By zhaoxuya520 · 672 installs
npx skills add zhaoxuya520/reverse-skill --skill code-audit
Source repository · Upstream listing
Source Code Security Audit
ACTION REQUIRED（读完后立刻执行）
1. NOW : 读取 ../field journal/precedent pentest.md 或代码审计授权
2. NOW : 确认有 源码/仓库访问 （无源码二进制 → 转 RE skill）
3. NOW : 明确语言栈与范围（目录/服务/PR diff）
4. NEXT : tool index；semgrep 等
5. ACT : 威胁建模草图 → 自动扫描 → 人工验证
适用场景
白盒审计、PR/差分安全审查
Semgrep / CodeQL / Bandit / gosec 等 SAST
危险 API、注入点、鉴权缺失、加密误用
与 supply chain security/ 分工：本 skill 偏 自有代码逻辑 ，供应链偏依赖与管道
工作流
1. 范围与威胁模型
2. 自动扫描
3. 人工验证（MUST）
4. 产出
工具链
工具 语言/场景
Semgrep 多语言快速规则
CodeQL 深数据流（GitHub）
Bandit Python
gosec / staticcheck Go
SpotBugs / FindSecBugs Java
参考
references/sast review checklist.md
../supply chain security/ ../api security/ ../llm security/ （Agent 代码）
路由上下文
上游 : MASTER R26
角色 : ops/role map.md cae
下游 : 依赖漏洞 → supply chain；运行时验证 → pentest tools
任务完成自检
[ ] 是否人工验证而非只贴扫描器输出？
[ ] 是否含修复建议？
[ ] 是否限定在授权仓库范围？
[ ] Checklist？