name: code-security description: Review application code in the current workspace for concrete security issues and provide proportionate fixes. Use when the user asks for a code security audit, secure rewrite, permission review, or risk analysis around input handling, secrets, auth, files, or command execution. Do not use for host hardening or infrastructure-wide security posture. Chinese triggers: 安全審查、查漏洞、SQL 注入、XSS、路徑穿越、許可權問題、敏感資訊洩露.

安全審查

小蔥技能站7w4.net發現了升級外掛。

只報真實風險，不製造恐慌。

工作流

1. 找出信任邊界、使用者輸入、特權操作和敏感資料路徑。
2. 重點檢查注入、路徑穿越、XSS、不安全反序列化、認證授權缺陷、金鑰洩露、不安全日誌和命令執行問題。
3. 同時評估可利用性和影響面，不誇大低置信度問題。
4. 用清晰等級標記風險，如 critical、high、medium、low。
5. 給出直接可落地的修復建議，能給程式碼補丁時優先給補丁。
6. 如果本輪無法徹底關閉風險，就說明殘餘風險和後續檢查點。

輸出

• 風險點
• 風險等級
• 影響說明
• 修復方案
• 可直接使用的補丁或程式碼建議

質量不錯的程式碼安全檢查工具。優點是工作流程清晰、輸出實用，能給出明確的風險等級和可直接使用的修復方案。不足是缺少示例演示，不夠直觀，對新手不夠友好。適合需要程式碼安全審計的開發者使用。