agent-skills安全检查清单：确保AI代理开发的应用符合安全标准

【免费下载链接】agent-skills Production-grade engineering skills for AI coding agents. 项目地址: https://gitcode.com/GitHub_Trending/agentskill/agent-skills

agent-skills是一个为AI编码代理提供生产级工程技能的项目，其中的安全检查清单对于确保AI代理开发的应用符合安全标准至关重要。通过遵循这份清单，开发者可以有效防范各类安全风险，保障应用的安全性。

为什么安全检查清单对AI代理开发至关重要

在AI代理开发过程中，安全是不可忽视的关键环节。AI代理可能处理大量敏感数据、与外部系统进行交互，一旦出现安全漏洞，可能导致数据泄露、系统被攻击等严重后果。agent-skills的安全检查清单为开发者提供了全面的安全指导，帮助他们在开发的各个阶段都能考虑到安全因素，从而构建出安全可靠的AI代理应用。

安全检查清单的核心内容

认证与授权安全

认证和授权是应用安全的第一道防线。在agent-skills的安全检查清单中，明确规定了密码必须使用bcrypt（≥12轮）、scrypt或argon2进行哈希处理，以确保密码的安全性。会话cookie需要设置httpOnly、secure和sameSite: 'lax'属性，防止会话被窃取。同时，登录端点要进行速率限制，建议每15分钟不超过10次尝试，密码重置令牌需有时效性（≤1小时）且只能使用一次。

在授权方面，每个受保护的端点都必须检查身份验证，资源访问需要验证所有权或角色，以防止身份越权（IDOR）攻击。管理员端点需要验证管理员角色，API密钥应限定在最小必要权限范围内，JWT令牌要验证签名、过期时间和发行者。

输入验证与数据保护

所有用户输入都必须在系统边界（API路由、表单处理程序）进行验证，验证应使用允许列表而非拒绝列表。字符串长度要进行约束，数值范围要验证，电子邮件、URL和日期格式需使用适当的库进行验证。文件上传要限制类型、大小并验证内容，SQL查询必须参数化，避免字符串拼接，HTML输出要进行编码，使用框架自动转义功能，URL在重定向前要验证，防止开放重定向攻击。

敏感字段（如passwordHash、resetToken等）应从API响应中排除，敏感数据（密码、令牌、完整的信用卡号等）不得记录日志。如果法规要求，个人身份信息（PII）需加密存储，所有外部通信都要使用HTTPS，数据库备份也应加密。

安全配置与依赖管理

安全头部配置是保障应用安全的重要措施，如Content-Security-Policy应设置default-src 'self'; script-src 'self'，Strict-Transport-Security的max-age设置为31536000并包含子域名，X-Content-Type-Options设为nosniff，X-Frame-Options设为DENY等。

CORS配置应限制来源，推荐使用限制性配置，如只允许特定域名访问，而不是使用cors({ origin: '*' })这种在生产环境中绝不能使用的配置。

定期审计依赖项是发现和修复安全漏洞的重要步骤。可以使用npm audit命令审计依赖项，npm audit fix自动修复可能的问题，npm audit --audit-level=critical检查关键漏洞，还可以使用npx npm-check-updates保持依赖项更新。

错误处理与OWASP Top 10防范

在生产环境中，错误处理应返回通用错误信息，不暴露内部细节。例如，返回{ error: { code: 'INTERNAL_ERROR', message: 'Something went wrong' } }，而不是包含错误消息、堆栈跟踪和数据库查询等内部信息的响应。

OWASP Top 10是Web应用安全的重要参考，agent-skills的安全检查清单针对其中的漏洞提供了防范措施。如针对注入漏洞，要使用参数化查询和ORM；针对身份验证失败，要使用强密码、速率限制和会话管理；针对跨站脚本（XSS），要使用框架自动转义或 sanitize 处理用户输入等。

如何有效使用这份安全检查清单

开发过程中的应用

在开发的每个阶段，开发者都应参照安全检查清单进行自我检查。在编写代码前，了解清单中的相关要求；在代码编写过程中，严格按照清单规范进行实现；在代码提交前，再次检查是否符合清单中的各项安全要求，如确保代码中没有 secrets，.gitignore正确配置等。

团队协作中的推广

团队领导应将这份安全检查清单作为团队开发的标准规范，确保每个团队成员都了解并遵循。在代码审查过程中，将清单中的内容作为审查要点之一，检查代码是否存在安全隐患。定期组织团队成员学习和讨论安全检查清单，分享安全开发经验。

定期更新与完善

安全威胁不断变化，安全检查清单也需要定期更新和完善。关注最新的安全漏洞和安全标准，及时将新的安全要求添加到清单中，确保清单能够持续为AI代理开发提供有效的安全指导。

安全检查清单的实践案例

以一个简单的用户登录功能为例，使用agent-skills的安全检查清单进行安全检查。首先，检查密码是否使用bcrypt进行哈希处理，会话cookie是否设置了正确的属性，登录端点是否进行了速率限制。然后，验证用户输入是否进行了正确的验证，防止SQL注入和XSS攻击。最后，检查错误处理是否符合要求，不暴露内部信息。通过这样的检查，可以有效发现并修复登录功能中的安全问题。

总结

agent-skills安全检查清单为AI代理开发提供了全面、实用的安全指导。遵循这份清单，开发者可以在开发过程中有效防范各类安全风险，确保应用符合安全标准。安全是一个持续的过程，开发者应将安全意识融入到开发的每一个环节，定期检查和更新安全措施，以保障AI代理应用的安全可靠运行。

参考文档：references/security-checklist.md，skills/security-and-hardening/SKILL.md

【免费下载链接】agent-skills Production-grade engineering skills for AI coding agents. 项目地址: https://gitcode.com/GitHub_Trending/agentskill/agent-skills