★ FEATURED ARTICLE 【免费下载链接】vibe-security-skillAgent skill that audits vibe-coded apps for common security vulnerabilities introduced by AI coding assistants项目地址https://gitcode.com/gh_mirrors/vi/vibe-security-skill点击查看免费下载vibe-security-skill是一个用于审计 AI 生成应用安全漏洞的 Agent Skill而贡献新漏洞模式正是它持续进化的核心方式。如果你发现 AI 编码助手反复写出某类不安全的代码这篇文章将带你走完从发现反模式、编写规则、到提交 PR 被合并的完整社区协作流程并详解每一条提交规范。无论你是第一次接触开源贡献的新手还是想完善自己安全清单的开发者都能按图索骥、快速上手。为什么你的贡献值得被需要 AI 助手很擅长快速写功能但经常把安全搞错硬编码密钥、跳过行级安全RLS、信任客户端提交的价格、把 token 存进localStorage……这些正是 vibe-security-skill 要拦截的模式。它采用Agent Skills格式兼容 Claude Code、OpenAI Codex 等主流智能体。核心设计原则只有一句见 vibe-security/SKILL.mdNever trust the client.永远不要信任客户端项目作者 Chris Raroque 在 README.md 中明确写道这本来就该是一个社区资源——如果你发现 AI 助手不断引入的安全反模式请把它加进来。仓库结构速览漏洞模式藏在哪些文件里在动手贡献前先花一分钟了解仓库布局你会知道该往哪里提交内容文件 / 目录作用vibe-security/SKILL.md技能主入口定义 9 步审计流程、输出格式与核心原则vibe-security/references/漏洞模式的核心存放地每个主题一个文件vibe-security/agents/openai.yamlCodex 侧的接口与展示配置CONTRIBUTING.md贡献指南与行为准则本文的主角LICENSEMIT 许可证references/目录下的 9 个参考文件按技术域划分智能体会根据项目用到的技术按需加载避免浪费上下文参考文件覆盖领域典型反模式secrets-and-env.md密钥与环境变量硬编码 API 密钥、.env未加入.gitignoredatabase-security.md数据库访问控制Supabase RLS 关闭、USING (true)策略authentication.md认证与授权jwt.decode()不校验、token 存localStoragerate-limiting.md限流与滥用防护认证端点无限流、限流计数可被篡改payments.md支付安全客户端提交价格、webhook 未验签mobile.md移动端API 密钥打进 JS bundle、AsyncStorage存 tokenai-integration.mdAI / LLM 集成AI 密钥暴露、无用量上限、提示注入deployment.md部署配置生产环境开调试模式、source map 暴露data-access.md数据访问与输入校验SQL 注入、Prisma 操作符注入、批量赋值关键认知这里的每条规则不是给人看的清单而是写给 AI 的指令。你贡献的模式质量直接决定智能体能否看懂并执行。贡献前准备三步搭好本地环境第 1 步Fork 仓库并克隆到本地git clone https://gitcode.com/gh_mirrors/vi/vibe-security-skill第 2 步创建独立分支建议用feat/或fix/前缀命名git checkout -b feat/add-convex-rate-limit第 3 步按 CONTRIBUTING.md 的规范完成修改随后提交 Pull Request 并清晰说明改了什么、为什么改。⚠️ 注意提交即表示你同意贡献内容以MIT 许可证发布请在 PR 前确认代码示例不含真实密钥或个人信息。贡献什么社区最欢迎的五类内容 ✍️CONTRIBUTING.md 列出了五类受欢迎的贡献按入门友好度排序 修正错误最易上手——发现过时信息或描述有误直接修。✨ 更好的示例——更清晰的 Before/After 代码对能帮助 AI 理解该标记什么、怎么修。 新漏洞模式——AI 助手常引入的安全反模式加入对应的参考文件或新建一个。 新平台覆盖——目前覆盖 Supabase、Firebase、Convex、Stripe、Next.js、React Native。其他常见平台如你的 BaaS的安全模式同样受欢迎。 真实案例——你在生产环境见过、且 AI 反复犯的具体漏洞正是这个项目最需要的素材。新手建议从补示例开始如果不确定哪个反模式值得新增可以先给现有文件补充更清晰的修复示例。例如 database-security.md 中缺少WITH CHECK一节就是典型的危险写法 正确写法 后果说明三段式结构可直接模仿。提交规范详解编写漏洞模式的五条准则这部分是贡献能否被顺利合并的关键逐条拆解 CONTRIBUTING.md 的 Guidelines准则一保持简洁让内容可扫读用短句和代码示例代替长段解释。参考文件要像清单而不是论文——智能体加载时每一段都在消耗上下文预算。准则二解释为什么The Why不要只写不要做 X而要写清攻击者如果利用 X 能做什么。例如不写不要在客户端用service_role密钥而应说明任何人可从浏览器 bundle 中提取它绕过全部行级安全读写删除数据库中每一行。这帮助 AI 判断严重级别做出更好的取舍。准则三只聚焦 AI 生成代码的典型错误 ⚡这是不是一份通用安全检查清单。只收录 AI 编码助手特定且反复犯的错误——比如它习惯性生成USING (true)策略、习惯性把价格放进请求体。经典但 AI 很少触犯的通用安全问题可以跳过。准则四先验证再提交如果条件允许用你更新后的规则让 AI 助手实际跑一次确认它真的能发现你描述的问题。规则写得再漂亮AI 看不懂就等于没写。准则五一个参考文件只讲一个主题要新增分类时在 vibe-security/references/ 下新建文件并同步在 SKILL.md 的 Audit Process 中补上对应审计步骤。两个地方缺一不可前者是知识后者是调度。推荐的条目结构综合现有文件的写法一条高质量的漏洞模式建议包含模式名称如 Missing WITH CHECK——一眼可知是什么危险示例BAD 代码——AI 常生成的错误写法正确示例GOOD 代码——可直接套用的修复攻击后果——具体影响而非抽象风险从草稿到合并一次完整的提交流程 把前面的内容串起来一次完整贡献的路线图是选位置确定你的模式属于哪个现有参考文件还是需要新建文件写内容按模式名称 BAD/GOOD 示例 攻击后果结构撰写同步调度仅新建文件时在 SKILL.md 审计流程中加一步在 References 列表中登记自测让 AI 助手加载你的修改验证能识别目标问题提交 PR标题清晰、描述中说明改动动机与验证结果行为准则同样重要友善、建设性、乐于助人——我们都在让 vibe-coded 应用更安全对新人贡献者请多鼓励 常见问题 FAQ ❓Q1不懂安全只会写文档能贡献吗可以。修正笔误、更新过时信息、补充更清晰的示例都算有效贡献。Q2我的平台比如某个 BaaS 或框架不在覆盖列表里正欢迎新建一个references/文件并在 SKILL.md 登记即可参考 mobile.md 的结构。Q3提交前必须做哪些检查对照 CONTRIBUTING.md 五条准则自检尤其确认聚焦 AI 反复犯的错与解释攻击后果。Q4贡献内容的版权归谁贡献内容将以 MIT 许可证随项目发布见 LICENSE可自由使用与修改。写在最后vibe-security-skill 的价值来自社区沉淀的每一个真实漏洞模式。当你下次让 AI 写完代码、又发现它习惯性留下某个安全隐患时别只改自己项目的代码——把它写成一条参考文件里的新模式让全球每一个 vibe-coder 的 AI 助手都学会绕开这个坑。这就是本文介绍的社区协作流程的全部意义一人发现众人受益 ️赞分享【免费下载链接】vibe-security-skillAgent skill that audits vibe-coded apps for common security vulnerabilities introduced by AI coding assistants项目地址https://gitcode.com/gh_mirrors/vi/vibe-security-skill点击查看免费下载相关推荐Bandit社区贡献指南如何提交漏洞规则Bandit社区贡献指南如何提交漏洞规则 你是否在使用Bandit时发现了新的Python安全漏洞模式却无法检测本文将带你通过6个步骤完成漏洞规则贡献从环SAST应用安全变更目的变更目的 修复推理模块中的内存泄漏问题该问题在长时间运行推理服务时会导致内存占用持续增长。 实现方法 1. 在 inference/huggingface/u示例工程功能概述功能概述 添加对LZ4压缩文件的签名识别与提取支持 实现细节 在 src/signatures/lz4.rs 中添加LZ4签名定义 在 src/extracto固件嵌入式逆向工程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
阅读完成 · 觉得有帮助？
