Một kỹ năng chuyên biệt để xác định và khắc phục các lỗ hổng bảo mật nghiêm trọng trong mã nguồn ứng dụng.
Cài đặt & Tải xuống
1. ClawHub CLI
Cách nhanh nhất để cài đặt kỹ năng trực tiếp từ thư viện.
npx clawhub@latest install code-security
2. Cài đặt Thủ công
Sao chép thư mục kỹ năng vào một trong những vị trí sau
~/.openclaw/skills/ <project>/skills/ Ưu tiên: Không gian làm việc > Cục bộ > Gói sẵn
3. Cài đặt Prompt
Sao chép prompt này vào OpenClaw để tự động cài đặt.
Giúp tôi cài đặt code-security bằng Clawhub. Nếu Clawhub chưa
Bạn muốn tải xuống?
Nhận các tệp kỹ năng gốc dưới dạng lưu trữ ZIP.
Kiểm toán viên bảo mật mã nguồn là gì?
Kiểm toán viên bảo mật mã nguồn là một công cụ mạnh mẽ được thiết kế cho các AI agent để thực hiện đánh giá bảo mật chuyên sâu trong môi trường làm việc cục bộ. Nó vượt xa việc kiểm tra mã (linting) đơn thuần bằng cách xác định các vấn đề bảo mật cụ thể như lỗi xử lý đầu vào, rò rỉ thông tin xác thực và lỗ hổng xác thực. Bằng cách tận dụng Openclaw Skills, công cụ này cung cấp các phương án khắc phục tương xứng và các bản vá mã nguồn khả thi để đảm bảo ứng dụng của bạn duy trì khả năng chống chịu trước các vectơ tấn công phổ biến.
Kỹ năng này được tối ưu hóa đặc biệt để tránh cảnh báo dư thừa, tập trung vào việc phát hiện rủi ro có độ tin cậy cao và khắc phục thực tế. Nó đánh giá khả năng khai thác thực sự của một lỗi, đảm bảo các nhà phát triển nhận được các báo cáo giá trị cao giúp cải thiện tình trạng bảo mật tổng thể của mã nguồn mà không gây ra sự bất tiện không cần thiết.
Trường hợp sử dụng Kiểm toán viên bảo mật mã nguồn
- Thực hiện kiểm toán bảo mật toàn diện trước khi phát hành phiên bản sản phẩm.
- Xác định và sửa lỗi SQL injection, XSS và lỗ hổng duyệt đường dẫn (path traversal).
- Phát hiện các bí mật được mã hóa cứng, API keys và thông tin xác thực nhạy cảm trong các tệp mã nguồn.
- Xem xét logic xác thực và ủy quyền để tìm các lỗi vượt quyền tiềm ẩn.
- Tái cấu trúc mã nguồn cũ để triển khai các tiêu chuẩn lập trình an toàn và xác thực đầu vào.
Cách thức hoạt động của Kiểm toán viên bảo mật mã nguồn
- Quét không gian làm việc để ánh xạ các ranh giới tin cậy, các điểm đầu vào của người dùng và các luồng dữ liệu nhạy cảm.
- Phân tích mã nguồn để tìm các mẫu cụ thể liên quan đến injection, deserialize không an toàn và thực thi lệnh.
- Đánh giá khả năng khai thác và tác động tiềm ẩn của các lỗ hổng đã xác định để đảm bảo báo cáo chính xác.
- Phân loại rủi ro vào các mức độ nghiêm trọng rõ ràng từ nghiêm trọng, cao đến thấp.
- Tạo các bản vá mã nguồn sẵn sàng cho sản phẩm hoặc các đề xuất khắc phục trực tiếp.
- Tóm tắt bất kỳ rủi ro dư thừa nào và cung cấp các điểm kiểm tra tiếp theo nếu một lỗ hổng không thể được giải quyết hoàn toàn trong một lần thực hiện.
Cài đặt Kiểm toán viên bảo mật mã nguồn
Để tích hợp khả năng này vào agent của bạn, hãy đảm bảo rằng nó đã được thêm vào cấu hình cục bộ của bạn cho Openclaw Skills.
# Ví dụ về việc kích hoạt kiểm toán bảo mật thông qua CLI agent
/ask "Perform a security audit on the current workspace focusing on input handling"
Lược đồ dữ liệu & Hệ thống phân loại của Kiểm toán viên bảo mật mã nguồn
Kỹ năng này tổ chức các phát hiện thành một báo cáo có cấu trúc để hỗ trợ khắc phục nhanh chóng. Output schema thường bao gồm:
| Thuộc tính | Mô tả |
|---|---|
| Điểm rủi ro | Đường dẫn tệp và khối mã cụ thể nơi lỗ hổng tồn tại. |
| Mức độ rủi ro | Phân loại (Nghiêm trọng, Cao, Trung bình, Thấp) dựa trên tác động. |
| Phân tích tác động | Giải thích chi tiết về cách kẻ tấn công có thể khai thác lỗ hổng. |
| Kế hoạch khắc phục | Hướng dẫn từng bước để sửa lỗi cơ bản. |
| Bản vá mã nguồn | Một đề xuất mã hoặc diff trực tiếp có thể được áp dụng ngay lập tức. |
Tính năng Nâng cao của Kiểm toán viên bảo mật mã nguồn
- Tự động tạo bản vá để giảm thiểu rủi ro lỗ hổng nhanh chóng.
- Hỗ trợ đa ngôn ngữ để xác định các lỗ hổng bảo mật trên nhiều framework khác nhau.
- Đánh giá rủi ro nhận thức ngữ cảnh hiểu được kiến trúc ứng dụng.
- Báo cáo chi tiết về rủi ro dư thừa cho các phụ thuộc bảo mật phức tạp.
SKILL.md
Đang tải
Các kỹ năng Openclaw liên quan
Shell Safe Exec
Một môi trường thực thi an toàn để chạy các lệnh kho lưu trữ không mang tính phá hủy như kiểm thử, xây dựng và linting trong không gian làm việc cục bộ.
Tái cấu trúc mã nguồn
Một kỹ năng chuyên biệt của AI Agent được thiết kế để hợp lý hóa cấu trúc và khả năng đọc của codebase mà không làm thay đổi hành vi chức năng.
Git Discipline
Một kỹ năng chuyên dụng để quản lý các kho lưu trữ Git cục bộ bằng cách sử dụng các thực tiễn luồng công việc an toàn, tiêu chuẩn hóa và có thể đảo ngược.
KnowledgeKeeper
Một công cụ quản lý kiến thức toàn diện được thiết kế để thu thập, phân loại và xuất thông tin có cấu trúc trên các dự án khác nhau.
Kỹ năng Hello World
Một kỹ năng kiểm tra nền tảng được thiết kế để trình diễn các giao thức chào hỏi của AI agent và tích hợp kỹ năng cơ bản.
Playwright Pro
Một bộ công cụ toàn diện cấp sản xuất dành cho các tác nhân AI (AI agents) để kiến trúc, tạo và duy trì các bộ kiểm thử Playwright mạnh mẽ.
Đặc sắc*
