# 验证环境
claude --version    # 确认 >= 1.0.20
node --version      # 确认 >= 18
gh --version        # 确认已安装

graph TB
    subgraph "Layer 1: 内置安全审查"
        A[Native Security Review] --> A1[自动扫描代码变更]
        A --> A2[检测常见漏洞模式]
        A --> A3[生成修复建议]
    end

    subgraph "Layer 2: 安全 Skill 扩展"
        B1[OWASP Security Skill]
        B2[claude-cybersecurity]
        B3[自定义安全规则]
        B1 & B2 & B3 --> B[并行 Agent 深度扫描]
    end

    subgraph "Layer 3: 持续安全门禁"
        C1[Pre-commit Hooks]
        C2[GitHub Actions]
        C3[PR 自动审查]
        C1 & C2 & C3 --> C[CI/CD 安全流水线]
    end

    A --> B --> C

# CLAUDE.md 安全规则示例

## 安全编码规范

### 禁止事项
- 禁止拼接 SQL 查询字符串，必须使用参数化查询
- 禁止将用户输入直接嵌入 HTML，必须经过转义
- 禁止在代码中硬编码密钥、令牌或凭证
- 禁止使用 eval()、exec() 等动态代码执行函数
- 禁止在日志中输出敏感信息（密码、token、PII）

### 强制要求
- 所有外部输入必须验证和清洗
- 所有 API 端点必须包含认证和授权检查
- 文件操作必须校验路径，防止目录遍历
- 密码必须使用 bcrypt/argon2 哈希存储
- 错误响应不得泄露内部实现细节

### 安全审查触发条件
当修改以下文件时，自动执行安全审查：
- 认证/授权相关代码
- 数据库查询逻辑
- 文件上传处理
- API 端点定义
- 配置文件变更

.claude/
├── rules/
│   ├── security-injection.md    # 注入类漏洞防护规则
│   ├── security-auth.md         # 认证授权安全规则
│   ├── security-data.md         # 数据保护规则
│   └── security-api.md          # API 安全规则
└── CLAUDE.md                     # 主规则文件，通过 @rules/security-*.md 引用

> 对整个 src/ 目录执行安全审查，重点检查 SQL 注入和 XSS 漏洞

# 方法一：在 Claude Code 中直接请求
> 审查 PR #42 的安全风险

# 方法二：使用 GitHub Actions 集成
gh pr view 42 --json files --jq '.files[].path' | \
  xargs claude -p "对这些文件变更进行安全审查"

# 安装 OWASP Security Skill
claude skill add https://github.com/agamm/claude-code-owasp

# 安装 claude-cybersecurity
claude skill add https://github.com/agricidaniel/claude-cybersecurity

graph LR
    subgraph "8 个并行审计 Agent"
        A1[Agent 1: SQL注入]
        A2[Agent 2: XSS]
        A3[Agent 3: 认证绕过]
        A4[Agent 4: CSRF]
        A5[Agent 5: SSRF]
        A6[Agent 6: 敏感数据泄露]
        A7[Agent 7: 配置错误]
        A8[Agent 8: 依赖漏洞]
    end

    TARGET[目标代码库] --> A1 & A2 & A3 & A4 & A5 & A6 & A7 & A8

    A1 & A2 & A3 & A4 & A5 & A6 & A7 & A8 --> REPORT[统一安全报告]

> 使用 OWASP Security Skill 对 src/ 目录进行全面安全审计，按严重程度排序输出结果

## 安全审计报告

### 🔴 严重 (Critical) — 3 个

**[A03:Injection] SQL 注入风险 — src/api/users.ts:45**
```typescript
// 漏洞代码
const query = `SELECT * FROM users WHERE name = '${req.body.name}'`;

const query = `SELECT * FROM users WHERE name = $1`;
const result = await pool.query(query, [req.body.name]);

// 漏洞代码
const hash = crypto.createHash('md5').update(password).digest('hex');

const hash = await bcrypt.hash(password, 12);

---

## 第五步：构建自动化安全修复流程

发现漏洞只是第一步，关键是建立高效的修复机制。

### 5.1 单漏洞快速修复

Claude Code 会读取文件上下文，理解业务逻辑，生成安全的替代代码，并通过 Edit 工具直接修改文件。

### 5.2 批量安全修复工作流

对于多个同类漏洞，使用 `-p` 模式批量处理：

```bash
# 批量修复所有 SQL 注入
claude -p "扫描 src/ 目录下所有 .ts 文件，找出所有字符串拼接 SQL 查询的地方，改为参数化查询。每个文件修改前展示 diff，确认后再应用" --allowedTools "Edit,Read,Grep,Glob"

# .claude/skills/security-auto-fix.md
---
name: security-auto-fix
description: 自动发现并修复 OWASP Top 10 漏洞
---

## 执行步骤

1. **扫描阶段**：使用 Grep 搜索以下危险模式：
   - SQL 字符串拼接: `.*\+.*SELECT|INSERT|UPDATE|DELETE.*`
   - XSS 风险: `innerHTML|dangerouslySetInnerHTML|v-html`
   - 硬编码密钥: `password\s*=\s*['"]|api_key\s*=\s*['"]|secret\s*=\s*['"]`
   - 命令注入: `exec\(|eval\(|system\(|spawn\(`

2. **分析阶段**：对每个匹配结果分析上下文，判断是否为真实漏洞

3. **修复阶段**：生成安全替代代码，展示 diff 并应用

4. **验证阶段**：运行测试确认修复未破坏功能

> /security-auto-fix 扫描并修复 src/ 目录下的所有安全漏洞

// .claude/settings.json
{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "command": "claude -p \"检查刚修改的文件 $CLAUDE_FILE_PATH 是否引入了安全漏洞，包括 SQL 注入、XSS、硬编码凭证。只报告问题，不修改代码\" --model claude-haiku-4-5-20251001 2>/dev/null || true"
      }
    ]
  }
}

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "command": "if echo \"$TOOL_INPUT\" | grep -q 'git commit'; then claude -p \"检查 git diff --cached 的输出，确认没有引入安全问题。如有问题输出 BLOCK: 原因\" --model claude-haiku-4-5-20251001 2>/dev/null; fi"
      }
    ]
  }
}

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Edit|Write",
        "command": "file=\"$TOOL_INPUT\"; if echo \"$file\" | grep -qiE '(\\.env|credentials|secret|\\.pem|\\.key)'; then echo 'BLOCK: 正在修改可能的敏感文件，请确认'; exit 1; fi"
      }
    ]
  }
}

# .github/workflows/security-review.yml
name: Security Review

on:
  pull_request:
    types: [opened, synchronize]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    permissions:
      pull-requests: write
      contents: read

    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Claude Code Security Review
        uses: anthropics/claude-code-security-review@v1
        with:
          claude-api-key: ${{ secrets.CLAUDE_API_KEY }}
          severity-threshold: medium  # 只报告中等及以上
          categories: |
            injection
            xss
            auth
            crypto
            misconfig
            sensitive-data

# .github/workflows/custom-security.yml
name: Custom Security Pipeline

on:
  pull_request:
  push:
    branches: [main]

jobs:
  security-audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install Claude Code
        run: npm install -g @anthropic-ai/claude-code

      - name: OWASP Full Scan
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
        run: |
          claude -p "
          对以下目录执行完整 OWASP 安全审计：
          - src/api/ — 检查注入、认证、授权
          - src/db/ — 检查 SQL 注入、数据泄露
          - src/config/ — 检查硬编码凭证、安全配置
          - src/middleware/ — 检查 CSRF、CORS、安全头

          输出格式：JSON，包含漏洞位置、类别、严重程度、修复建议
          " --output-format json > security-report.json

      - name: Upload Report
        uses: actions/upload-artifact@v4
        with:
          name: security-report
          path: security-report.json

      - name: Check Threshold
        run: |
          critical=$(jq '[.[] | select(.severity == "critical")] | length' security-report.json)
          if [ "$critical" -gt 0 ]; then
            echo "::error::发现 $critical 个严重漏洞"
            exit 1
          fi

express-app/
├── src/
│   ├── api/
│   │   ├── users.ts      # 用户 API
│   │   ├── products.ts   # 产品 API
│   │   └── auth.ts       # 认证 API
│   ├── db/
│   │   └── connection.ts # 数据库连接
│   ├── middleware/
│   │   └── auth.ts       # 认证中间件
│   └── app.ts            # 应用入口
├── package.json
└── .env                  # ⚠️ 包含数据库密码

cd express-app
claude

> 列出当前项目的安全规则配置

> 使用以下策略对 src/ 目录进行安全审计：
> 1. 检查所有 .ts 文件中的 SQL 注入风险
> 2. 检查认证和授权逻辑缺陷
> 3. 检查敏感数据泄露风险
> 4. 检查硬编码凭证
> 5. 检查安全配置错误
> 按严重程度从高到低排序输出，每个漏洞给出具体代码位置和修复代码

// ❌ 漏洞代码
app.get('/api/users/search', async (req, res) => {
  const name = req.query.name;
  const result = await db.query(
    `SELECT * FROM users WHERE name LIKE '%${name}%'`
  );
  res.json(result.rows);
});

// ✅ 修复后
app.get('/api/users/search', async (req, res) => {
  const name = req.query.name as string;
  const result = await db.query(
    'SELECT id, name, email FROM users WHERE name LIKE $1',
    [`%${name}%`]
  );
  res.json(result.rows);
});

// ❌ 漏洞代码
const crypto = require('crypto');
const hash = crypto.createHash('sha256').update(password).digest('hex');

// ✅ 修复后
import bcrypt from 'bcrypt';
const hash = await bcrypt.hash(password, 12);

# ❌ .env 被 git 跟踪
DB_PASSWORD=mysecretpassword123

# 修复：将 .env 加入 .gitignore，使用环境变量管理
echo ".env" >> .gitignore

> 运行项目测试套件，确保安全修复没有破坏现有功能

npm test

> 创建一个安全修复分支，提交所有安全修复，并创建 PR

flowchart TD
    START[开始安全审计] --> CONFIG[配置 CLAUDE.md 安全规则]
    CONFIG --> INSTALL[安装安全 Skill]
    INSTALL --> SCAN{选择扫描方式}

    SCAN -->|快速扫描| NATIVE[内置安全审查]
    SCAN -->|深度扫描| OWASP[OWASP Skill 全量扫描]
    SCAN -->|并行扫描| CYBER[claude-cybersecurity 8 Agent]

    NATIVE --> REPORT[生成安全报告]
    OWASP --> REPORT
    CYBER --> REPORT

    REPORT --> CLASSIFY{漏洞分类}
    CLASSIFY -->|严重| CRITICAL[立即修复]
    CLASSIFY -->|中等| MEDIUM[计划修复]
    CLASSIFY -->|低风险| LOW[记录跟踪]

    CRITICAL --> FIX[自动/手动修复]
    MEDIUM --> FIX

    FIX --> TEST[运行测试验证]
    TEST -->|通过| COMMIT[提交安全修复]
    TEST -->|失败| FIX

    COMMIT --> PR[创建 PR]
    PR --> CI[CI/CD 安全门禁]
    CI -->|通过| MERGE[合并代码]
    CI -->|未通过| FIX

    LOW --> TRACK[记录到安全跟踪系统]
    MERGE --> HOOKS[Hooks 持续监控]
    TRACK --> HOOKS

    HOOKS --> |下次修改| NATIVE

> 使用 Opus 进行深度安全架构分析，识别设计层面的安全缺陷。
> 然后使用 Sonnet 对具体代码实现进行 OWASP 合规检查。
> 最后使用 Haiku 对所有修复进行回归测试。

<!-- .claude/rules/security-audit-template.md -->
## 安全审计标准流程

### 阶段一：信息收集
1. 确定技术栈和框架
2. 识别认证/授权机制
3. 映射数据流和信任边界
4. 列出外部依赖

### 阶段二：漏洞扫描
1. OWASP Top 10 逐项检查
2. 框架特定安全配置审查
3. 依赖漏洞检查（npm audit / pip audit）
4. 敏感数据泄露扫描

### 阶段三：报告输出
- 格式：漏洞位置 | 类别 | 严重程度 | 修复建议 | 修复代码
- 按严重程度排序
- 包含修复优先级建议

> 基于 OWASP ASVS 5.0 Level 1 要求，对本项目执行安全合规审计。
> 逐项检查 ASVS 验证要求，标记合规/不合规/不适用。
> 对不合规项生成修复方案。

# 审计最近一次提交的变更
claude -p "审查 git diff HEAD~1 的输出，检查是否引入了安全漏洞"

> 只扫描 src/api/ 目录下的认证和授权相关代码，使用 Haiku 模型提高速度

## 安全审计排除规则
- 忽略 test/ 目录中的硬编码凭证（仅用于测试环境）
- 忽略 src/utils/mock.ts 中的模拟数据
- 忽略依赖项的间接漏洞（通过 npm audit 处理）

> 我的项目有大量安全漏洞。请帮我制定分阶段修复计划：
> 1. 首先识别涉及用户认证和数据保护的最高风险漏洞
> 2. 制定4周修复计划，每周修复一类漏洞
> 3. 每次修复后运行完整测试套件

{
  "hooks": {
    "PostToolUse": [{
      "matcher": "Edit|Write",
      "command": "npx pre-commit run --files $CLAUDE_FILE_PATH 2>/dev/null || true"
    }]
  }
}