Vibe 安全审计 Skill

★ 913打磨实战
GitHub 仓库
#security#audit#skill

简介

一个给 AI 编程助手用的安全审计 skill（913+ star），专门修补 vibe coding 应用里反复出现的漏洞模式。作者 Chris Raroque 与 Aloa 团队发现：AI 助手做功能很快，但总在安全上出错——硬编码密钥、跳过行级安全、信任客户端提交的价格、把 token 存进 localStorage。这个 skill 让 Agent 在上线前就抓住这些模式。

适合人群

用 Claude Code、OpenAI Codex 等 AI 助手写应用、尤其用到鉴权/支付/数据库/AI 接口的开发者——想让 AI 在写完代码时顺手把安全漏洞也堵上的人。

核心内容

  1. 01它审计什么：AI 助手最常见的安全漏洞

    规则按技术栈分类加载，不浪费上下文：用 Supabase 就查 RLS 策略、用 Stripe 就查支付流、用 React Native 就查 JS bundle 里的密钥。覆盖九大类：密钥与环境变量（硬编码 key、NEXT_PUBLIC_/VITE_ 前缀暴露、缺 .gitignore）、数据库安全（Supabase RLS 被关、USING (true)、缺 WITH CHECK、Firebase allow: if true）、鉴权授权（jwt.decode 不校验、中间件级鉴权、Server Actions 无保护）、限流、支付（客户端提交价格、缺 webhook 签名校验）、移动端（token 存 AsyncStorage、API key 进 bundle）、AI/LLM（key 暴露、无用量上限、提示注入、不安全输出渲染）、部署（生产开调试模式、暴露 source map、.git 可访问）、数据访问（SQL 注入、Prisma 操作符注入、$queryRawUnsafe）。

  2. 02为什么 vibe coding 应用更需要安全审计

    用 AI 快速构建时，安全基本功往往被跳过——更糟的是，漏洞常常就是 AI 助手自己引入的。这正是本 skill 的出发点：不是「加一层检查」，而是让 Agent 本身具备识别这些反模式的知识。作者把它定位为社区资源，鼓励大家把「AI 反复引入的安全反模式」继续往里加。

  3. 03怎么用：一键审计或自然语言触发

    安装后，在 Claude Code 里用 /vibe-security 触发完整安全审计，或直接自然语言提问「check my code for security issues」「is this safe?」「audit this project」；Codex 里用 $vibe-security。skill 还会在你写/审涉及鉴权、支付、数据库访问、API key 或用户数据的代码时自动激活，不需要每次手动调用。

  4. 04怎么安装：支持 Claude Code 与 Codex

    官方推荐一行命令安装：npx skills add https://github.com/raroque/vibe-security-skill --skill vibe-security；在 Codex 下安装时选「Codex」平台即可。也支持手动安装：把 vibe-security/ 文件夹复制到项目级 .claude/skills/ 或全局 ~/.claude/skills/。它采用 Agent Skills 格式，与 Claude Code、OpenAI Codex 等兼容的 Agent 都能用。

实践建议

  • 给你的项目装好 skill 后跑一次 /vibe-security，把报告里的每一项按「密钥/鉴权/支付/数据访问」分类整理，先修最容易爆雷的硬编码密钥。
  • 如果你在用 Supabase 或 Firebase，专门让 Agent 检查 RLS/规则是否真的生效，而不是只验证「能连上数据库」。
  • 上线前把安全审计做成固定步骤：每次部署前跑一遍，重点看新增的支付、鉴权或 AI 接口代码。
  • 遇到 AI 反复犯的新安全错误，按 CONTRIBUTING 把它补充进 skill，让这个社区资源跟着你的实战一起变强。

配套工作流

方案 G：AI 编程工作流（需求到交付）方案 AX：Context Engineering 实操（把上下文喂对，让 AI 一次写对）方案 AY：从 Vibe 原型到 Viable 产品（上线前打磨清单）方案 AZ：AI 编程安全与测试体检（交付前必做）

同类资源