Web 安全审查方法论 · 30+ 漏洞模式清单
分类：开发工具
它能帮你做什么
对已上线或待上线 Web 项目做全栈安全与质量审查方法论：按认证授权→注入→逻辑边界→异常→性能优先级逐条过 30+ 真实漏洞模式，产出分级整改清单。
基本信息
| 是否收费 | 免费 |
|---|---|
| 许可 | MIT |
| 原作者 | 宫帅（AI智库） |
| 上游仓库 | https://github.com/zhiyingstudio/zhiying-skills |
| 评级 | A |
| 使用次数 | 3 |
信任状
- ✅ 已通过 AI8188 真实实测：用真实输入跑过一遍，输入、输出、耗时原样公开，可自行核对。
- 🔌 可被 AI 助手直接调用执行：经 MCP（https://www.ai8188.com/mcp）用 run_skill 真实执行，返回不可伪造的执行证明 trace_id，可用 verify_execution 独立核验。
- 📜 来源可溯：开源许可 MIT · 原作者 宫帅（AI智库） · 上游 https://github.com/zhiyingstudio/zhiying-skills
- 🔒 密钥不出本机：运行所用的模型 API 密钥只存在用户自己的浏览器，不上传平台、不入库。
实测记录（真实跑过的证据）
真实测试输入：帮我看看这个 Web 项目有哪些潜在的安全风险，比如认证授权、注入、逻辑边界等方面，给我个详细的整改清单。（请直接交付可使用的成品，不要反问、不要说做不到、不要让我去别处查）
真实输出片段：| 风险类型 | 具体风险 | 检测方法 | 修复建议 | |---|---|---|---| | **认证授权** | | | | | | 未经验证的用户访问敏感数据 | 检查用户权限控制逻辑 | 确保所有敏感数据访问都需要经过严格的用户认证和授权检查 | | | 密码存储方式不安全 | 检查密码存储方式 | 使用强散列算法（如bcrypt）存储密码，并确保密码在传输过程中使用HTTPS加密 | | | Session管理漏洞 | 检查Session管理机制 | 使用安全的Session管理机制，如设置合理的Session超时时间，并确保Session在传输过程中使用HTTPS加密 | | **注入** | | | | | | SQL注入 | 检查数据库查询语句 | 使用参数化查询或ORM框架来防止SQL注入攻击 | | | XSS攻击 | 检查输入数据 | 对用户输入数据进行过滤和转义，以防止XSS攻击 | | | CSRF攻击 | 检查表单提交 | 使用CSRF令牌来防止CSRF攻击 | | **逻辑边界** | | | | | | 缓冲区溢出 | 检查输入数据长度 | 对用户输入数据进行长度限制，以防止缓冲区溢出攻击 | | | 空指针异常 | 检查代码逻辑 | 避免使用空指针，并进行适当的异常处理 | | | 逻辑错误 | 检查代码逻辑
判定：✅ 通过 · 引擎 deepseek · Fri Sep 25
说明：以上为 AI8188 用真实输入在平台通道真跑该技能的记录，输入、输出、产出原样公开，可自行核对。
实测记录（公开可查）：https://www.ai8188.com/api/reports?type=skill&id=615
运行
本技能可直接在 AI8188 网页内运行（无需安装）：https://www.ai8188.com/run/skill/615
页面：https://www.ai8188.com/s/zy-security-audit 全量实测报告：https://www.ai8188.com/reports
（本页是给搜索引擎与 AI 助手抓取的静态版本；在浏览器打开会进入完整交互界面。技能提示词正文不在本页公开。）