代码与系统安全审查

仅报告真实存在的风险，不制造不必要的恐慌。

使用场景

当用户请求进行安全审查、代码审计、安全检查、漏洞分析、安全评估、渗透测试、代码扫描或安全审查时触发。

工作流程

1. 识别信任边界、用户输入点、特权操作以及敏感数据的处理路径。
2. 重点关注注入攻击、路径遍历、跨站脚本（XSS）、不安全反序列化、身份认证与授权缺陷、密钥泄露、不安全日志记录以及命令执行等问题。
3. 评估漏洞的可利用性及影响范围；不夸大低置信度的问题。
4. 使用明确的严重程度等级标记风险：严重、高、中、低。
5. 提供直接可操作的修复建议；尽可能优先提供可直接应用的代码补丁。
6. 若当前无法完全关闭某项风险，请说明剩余风险，并提出后续检查节点。

输出格式

针对每个风险点，输出以下内容：

• 风险点：问题位置及性质的简要描述
• 风险等级：critical | high | medium | low
• 影响说明：若被利用可能造成的实际后果
• 修复方案：具体、可操作的修复步骤
• 补丁：可直接应用的代码差异（优先提供）

若未发现任何风险，请输出简短确认信息，不得虚构问题。

常见漏洞检查清单

详细内容参见 [references/checklist.md](references/checklist.md)，涵盖 OWASP Top 10 及常见攻击面。