Eine umfassende Sicherheitsaudit-Fähigkeit, die Injection-Schwachstellen, Autorisierungsumgehungen und Zuverlässigkeits-Antipatterns im Quellcode identifiziert.
Installieren & Herunterladen
1. ClawHub CLI
Der schnellste Weg, einen Skill direkt aus der Registry zu installieren.
npx clawhub@latest install bookforge-secure-code-review
2. Manuelle Installation
Kopiere den Skill-Ordner an einen dieser Orte
~/.openclaw/skills/ <project>/skills/ Priorität: Workspace > Lokal > Integriert (Bundled)
3. Prompt-Installation
Kopiere diesen Prompt in OpenClaw, um ihn automatisch zu installieren.
Hilf mir, bookforge-secure-code-review über Clawhub zu installieren. Falls Clawhub nicht installiert ist, installiere es bitte zuerst (npm i -g clawhub).
Lieber herunterladen?
Hole dir die rohen Skill-Dateien in einem ZIP-Archiv.
Was ist Secure Code Review?
Die Secure Code Review Fähigkeit bietet ein systematisches Framework zur Prüfung von Codebasen auf die häufigsten und schädlichsten Sicherheitslücken. Sie konzentriert sich auf die Identifizierung von Injection-Angriffen, Cross-Site Scripting (XSS) und Autorisierungslogikfehlern, die oft durch komplexe Verschachtelungen oder unsachgemäße Framework-Nutzung entstehen. Durch die Nutzung von Openclaw Skills können Entwickler von reaktiven Patches zu einem proaktiven, hardened-by-construction Designansatz übergehen.
Diese Fähigkeit findet nicht nur Bugs; sie erzwingt eine Philosophie, bei der Sicherheitsinvarianten durch type-safety und zentralisierte Interceptoren unverletzlich gemacht werden. Sie ist besonders effektiv bei der Bewertung, ob ein System starke Typen wie SafeHtml oder TrustedSqlString verwendet, um zu verhindern, dass benutzergesteuerte Eingaben sensible Sinks erreichen. Durch die Integration in Ihren Entwicklungslebenszyklus stellen Sie sicher, dass Sicherheit und Zuverlässigkeit als zentrale Architekturvorgaben behandelt werden.
Secure Code Review Anwendungsfälle
- Durchführung eines systematischen Sicherheitsaudits vor dem Start eines wichtigen Dienstes.
- Überprüfung von Pull Requests, die den Aufbau von Datenbankabfragen oder die HTML-Rendering-Logik ändern.
- Prüfung von Legacy-Codebasen auf die Besessenheit von primitiven Typen, die zu Sicherheitsmissbrauch führen könnten.
- Identifizierung von Autorisierungsumgehungsrisiken in tief verschachtelter Bedingungslogik.
- Bewertung, ob RPC-Backends zentralisierte Interceptor-Frameworks korrekt für Authentifizierung und Logging nutzen.
So funktioniert Secure Code Review
- Definieren Sie den Umfang durch Identifizierung der Programmiersprache, Framework-Einstiegspunkte und Datenzugriffsmuster.
- Führen Sie automatisierte Scans für SQL injection Risiken durch, indem Sie rohe String-Verkettungen in Datenbankabfragen erkennen.
- Analysieren Sie HTML-Rendering-Pfade, um potenzielle XSS-Exposition und fehlende type-safety Wrapper zu identifizieren.
- Bewerten Sie die Verschachtelungstiefe von Bedingungen, um potenzielle Autorisierungsumgehungen und Logikfehler zu finden.
- Prüfen Sie Funktionssignaturen auf die Verwendung von primitiven Typen in sicherheitskritischen Kontexten.
- Überprüfen Sie die RPC-Backend-Registrierung, um sicherzustellen, dass Querschnittsbelange wie Rate-Limiting und Auth vom Framework behandelt werden.
- Erstellen Sie einen priorisierten Sicherheitsbericht mit Schweregraden und konkreten Korrekturempfehlungen.
Secure Code Review Einrichtung
Um mit dieser Fähigkeit innerhalb des Openclaw Skills Ökosystems zu beginnen, stellen Sie sicher, dass Ihre Umgebung Zugriff auf Standard-CLI-Tools wie grep hat.
# Navigieren Sie zu Ihrem Projektverzeichnis
cd /path/to/your/repository
# Die Fähigkeit nutzt grep für Pattern Matching und read für die Kontextanalyse
# Stellen Sie sicher, dass die secure-code-review Fähigkeit in Ihrem AI-Agenten-Profil geladen ist
Secure Code Review Datenschema & Taxonomie
Die Fähigkeit generiert einen strukturierten Sicherheitsbericht, der nach Schweregrad geordnet ist. Jeder Befund enthält die folgenden Metadaten:
| Attribut | Beschreibung |
|---|---|
| Schweregrad | Klassifizierung (Kritisch, Hoch, Mittel, Niedrig) basierend auf der Auswirkung. |
| Antipattern-Klasse | Der erkannte spezifische Sicherheits- oder Zuverlässigkeitsfehler (z. B. SQLi, XSS). |
| Betroffener Ort | Die spezifische Datei und Zeilennummer(n), an denen das Muster gefunden wurde. |
| Korrekturempfehlung | Konkrete Codebeispiele, die zeigen, wie die Implementierung gehärtet werden kann. |
| Positive Muster | Identifizierung bestehender gehärteter Strukturen wie Interceptoren oder typisierte Builder. |
Secure Code Review Erweiterte Funktionen
- Musterbasierte Erkennung für sprachspezifische Injection-Signaturen (Python f-strings, Java/Go-Verkettung).
- Heuristische Analyse von Einrückungsebenen, um risikoreiche Autorisierungsverschachtelungen zu kennzeichnen.
- Typsystem-Validierung für Sicherheits-Wrapper wie SafeHtml, SafeUrl und TrustedResourceUrl.
- Unterstützung bei der Identifizierung von YAGNI-Komplexität, die die Angriffsfläche des Systems vergrößert.
- Integration mit RPC-Interceptor-Logik zur Überprüfung der Ausführungsreihenfolge von Logging, Authentifizierung und Autorisierung.
SKILL.md
Laden
Verwandte Openclaw-Skills
Sichere Deployment-Pipeline
Ein umfassendes Framework zur Absicherung von Software-Liefer-Pipelines gegen interne Bedrohungen und externe Lieferkettenangriffe unter Verwendung von binärer Provenienz.
Text-Repeater
Ein umfassendes Textbearbeitungs-Dienstprogramm für Wiederholungen, Unicode-Styling, Generierung unsichtbarer Zeichen und Datenbereinigung.
OpenClaw Creator Setup
Ein umfassendes Konfigurations-Dienstprogramm, das darauf ausgelegt ist, Content-Erstellern und Self-Media-Profis bei der Initialisierung, Verwaltung und Optimierung ihrer KI-gesteuerten Workflow-Umgebungen zu helfen.
Planung für Sicherheitsänderungs-Rollouts
Ein umfassendes Framework zur Klassifizierung, Triage und Ausführung sicherheitskritischer Änderungen in Systemflotten bei minimierten Ausfallzeiten und maximaler Zuverlässigkeit.
Resilienz- und Blast-Radius-Design
Ein technisches Framework zum Entwerfen und Auditieren von Systemresilienz durch geschichtete Verteidigung, Kompartimentierung und Fehlerdomänen-Mapping.
KLM Brand Insights
Eine Intelligenz-Skill zur Analyse der Marktposition, des Produktökosystems und der globalen Reichweite der Marke KLM.
Hervorgehoben*
