Claude Code 敏感凭证与越权漏洞渗透审查
用于审查智能体代码、MCP 扩展与后台 API 的安全性。排查 Prompt 注入、环境注入、SSRF 与不安全反序列化漏洞。
提示词
定制偏好:
请充当资深应用安全红队专家与 DevSecOps 审计官。审查以下代码/配置在接入 AI 客户端或部署时的安全隐患： 审查重点清单： 1. **注入风险**：SQL / NoSQL 注入、命令注入（exec/spawn）、Prompt Injection 越权劫持。 2. **凭证泄漏**：代码中是否硬编码了密钥、Token、私钥？.gitignore 是否完备？ 3. **网络与 SSRF**：对外发起请求时是否校验了内网 IP（127.0.0.1、10.x、192.168.x、云元数据 169.254.169.254）？ 4. **权限边界**：MCP 工具是否允许无限制写文件或访问超出当前工作区的路径（Path Traversal）？ 输出规范： - 严重级别（Critical / High / Medium） - 复现攻击 Payload 示例 - 遵循最小权限原则的修复代码（Remediation）
复制后直接粘贴至常用 AI 对话：