CC源码剖析 #15 · 安全审查：Security Review 命令实现

1
2
3
4
5
6
7
8

// 允许的工具（白名单）
allowed-tools: Bash(git diff:*), Bash(git status:*),
               Bash(git log:*), Bash(git show:*),
               Bash(git remote show:*), Read, Glob, Grep, LS, Task

// 描述
description: Complete a security review of the pending changes
             on the current branch

1
2
3
4
5
6
7
8
9

// 限制只能使用：
// 1. Git 读取命令（diff, status, log, show, remote show）
// 2. 文件读取（Read, Glob, Grep, LS）
// 3. Task（用于并行分析）

// 禁止：
// - Bash（其他命令）
// - FileWrite / FileEdit
// - Network tools

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// 自动排除以下类型：
HARD EXCLUSIONS:
1. DOS / 资源耗尽
2. 磁盘上的 secrets（其他工具处理）
3. 速率限制问题
4. 内存/CPU 耗尽
5. 非安全关键字段的输入验证
6. GitHub Action workflow 漏洞（除非明确可触发）
7. 内存安全语言中的内存安全问题（Rust 等）
8. 测试文件中的问题
9. 日志伪造
10. SSRF（仅控制 path 时）
11. AI prompt 注入
12. Regex injection/DOS
13. 文档文件中的问题
14. 缺少审计日志

1
2
3
4
5
6
7

PRECEDENTS:
1. 明文日志记录高价值 secrets → HIGH
2. UUIDs → 不可猜测，无需验证（安全）
3. 环境变量和 CLI flags → 信任（安全）
4. React/Angular XSS → 除非使用 dangerouslySetInnerHTML（安全）
5. 客户端 JS 缺少权限检查 → 不算漏洞（安全）
6. Notebook 漏洞 → 需要明确攻击路径（安全）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

// Phase 1: 仓库上下文研究
// - 识别现有安全框架和库
// - 查找established secure coding patterns
// - 理解项目的安全模型

// Phase 2: 对比分析
// - 比较新代码与现有安全模式
// - 识别偏离安全实践的地方
// - 标记引入新攻击面的代码

// Phase 3: 漏洞评估
// - 检查每个修改文件的安全影响
// - 追踪数据流从用户输入到敏感操作
// - 识别注入点和unsafe反序列化

1
2
3
4
5
6

# Vuln 1: XSS: `foo.py:42`

* Severity: High
* Description: ...
* Exploit Scenario: ...
* Recommendation: ...