code-audit skill
✓ 공식Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
- GitHub 스타
- 144
- 파일
- 2
- 마지막 커밋
- 2026년 11월 10일
- 라이선스
- MIT
- 허용된 도구
- —
code-audit skill은 무엇을 하나요?
code-audit은(는) agent skill입니다. Use for authorized source-code security review and SAST workflows including Semgrep, CodeQL patterns, dangerous API hunting, and fix verification.
code-audit skill 설치 방법
각 명령은 skill 폴더를 클라이언트의 skills 디렉터리에 복사합니다. 클라이언트를 재시작하거나 새 세션을 시작하여 로드하세요.플러그인에 code-audit skill 설치
/plugin marketplace add skillmds/SkillMD /plugin install code-security-review-pipeline@skillmd
Claude Code에 code-audit skill 설치
~/.claude/skills/code-audit/SKILL.md
$ npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit ~/.claude/skills/code-auditClaude Code (project)에 code-audit skill 설치
.claude/skills/code-audit/SKILL.md
$ npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit .claude/skills/code-auditCodex에 code-audit skill 설치
~/.agents/skills/code-audit/SKILL.md
$ npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit ~/.agents/skills/code-auditGemini CLI에 code-audit skill 설치
~/.gemini/skills/code-audit/SKILL.md
$ npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit ~/.gemini/skills/code-auditClaude.ai에 code-audit skill 설치
npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit code-audit && zip -r code-audit.zip code-audit # claude.ai → Customize → Skills → + → Create skill → Upload a skill → code-audit.zip
SKILL.md
GitHub에서 보기Source Code Security Audit
ACTION REQUIRED（读完后立刻执行）
NOW: 读取../field-journal/precedent-pentest.md或代码审计授权NOW: 确认有源码/仓库访问（无源码二进制 → 转 RE skill）NOW: 明确语言栈与范围（目录/服务/PR diff）NEXT: tool-index；semgrep 等ACT: 威胁建模草图 → 自动扫描 → 人工验证
适用场景
- 白盒审计、PR/差分安全审查
- Semgrep / CodeQL / Bandit / gosec 等 SAST
- 危险 API、注入点、鉴权缺失、加密误用
- 与
supply-chain-security/分工：本 skill 偏自有代码逻辑，供应链偏依赖与管道
工作流
1. 范围与威胁模型
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
2. 自动扫描
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
3. 人工验证（MUST）
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
4. 产出
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号
工具链
| 工具 | 语言/场景 |
|---|---|
| Semgrep | 多语言快速规则 |
| CodeQL | 深数据流（GitHub） |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |
参考
references/sast-review-checklist.md../supply-chain-security/../api-security/../llm-security/（Agent 代码）
路由上下文
上游: MASTER R26
角色: ops/role-map.md cae
下游: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools
任务完成自检
- 是否人工验证而非只贴扫描器输出？
- 是否含修复建议？
- 是否限定在授权仓库范围？
- Checklist？
이 스킬의 파일
2code-audit skill 질문
Claude Code에 code-audit skill을 어떻게 설치하나요?
npx degit skillmds/SkillMD/plugins/code-security-review-pipeline/skills/code-audit ~/.claude/skills/code-audit를 실행합니다. Claude Code는 ~/.claude/skills(모든 프로젝트) 또는 .claude/skills(한 프로젝트)에서 skills를 로드하며, 설명이 작업과 일치할 때 skill을 사용합니다.
code-audit skill을 사용할 수 있는 클라이언트는 무엇인가요?
Agent Skills 형식을 읽는 모든 클라이언트(Claude Code, Codex, Gemini CLI, claude.ai(ZIP으로 업로드))가 사용할 수 있습니다. skill 내 스크립트는 클라이언트가 코드 실행을 허용하는 경우에만 실행됩니다.