夸克网盘链接，买断制AIskill

核心是代码防御，与白盒0day的攻击并不相通

并前后端漏洞，代码编码、检测等，均包含在内

全栈安全审计套件

资源简介

一款面向自有代码库的防御性全栈安全审计技能。与进攻型"挖SRC漏洞"不同，本套件帮你把自己系统的安全防线从设计到上线层层验到底——发现漏洞、给出正确修复、并用测试验证堵死。

• 语言：全中文
• 作者：Skill-大师-倩倩（杨CC资源站，账号：Skill-dashi）
• 许可证：专有（可转售，须保留 ycc77.cn 链接）
• 技能数：56 个文件（1 主入口 + 3 规则 + 4 模块 + 24 后端漏洞库 + 16 前端漏洞库 + 5 框架速查 + 2 可执行脚本 + LICENSE）
• 适用人群：安全工程师、开发工程师、技术负责人、独立开发者

为什么它比单纯"扫漏洞"更强

多数工具/技能只告诉你"这里可能有漏洞"，然后让你自己去改。本套件每条漏洞都写成四段式：

段	内容	解决什么
① 危险代码样本	一眼认出怎么写会出问题	发现
② 审查步骤	在代码库里怎么定位	定位
③ 正确修复写法	安全版本的代码	修复
④ 验证测试用例	修完怎么测确认堵死	验证

发现 + 修复 + 验证一条龙，这才是防御性审计该有的完整度。

四层分层审计架构

text
L0 总纲     → 审计红线、报告格式、最小伤害原则
L1 漏洞类型 → 后端24类 + 前端16类，逐类四段式审计
L2 框架速查 → Spring / Laravel / Django / Node / Go 高危点对照
L3 技术动作 → 威胁建模 / 数据流分析 / 依赖审计 / 密钥扫描
            → 2 个可执行脚本（密钥扫描 / 依赖清单解析）

覆盖范围一览

后端 24 类	越权(IDOR/水平/垂直)、SQL/命令/模板/LDAP注入、XXE、SSRF、反序列化、竞态、文件上传、路径穿越、认证缺陷、会话固定、弱加密、CSRF、开放重定向、日志泄露、业务逻辑、错误泄露、请求走私、头注入、JWT、原型污染、参数/缓存投毒
前端 16 类	DOM XSS、CSP、点击劫持、客户端存储泄露、postMessage、SRI、前端重定向、CORS、外链脚本、ReDoS、表单注入、SVG XSS、iframe沙箱、前端依赖、Referer泄露、CSS注入
框架速查 5 类	Spring、Laravel、Django、Node、Go 各自易错点 + 修复基线

核心能力

1. 深度代码审计：四层架构从设计威胁建模一路审到生产错误处理
2. 修复导向：每条漏洞给安全版代码 + 验证测试，不只停在"发现"
3. 前后端分栈：后端注入/越权，前端XSS/存储泄露，各自专项
4. 框架对症：Spring/Laravel/Django/Node/Go 有针对性速查表
5. 可执行脚本：密钥扫描、依赖清单解析两个脚本开箱即用

使用方法

1. 下载解压后，将 fullstack-security-audit 整个文件夹复制到 AI 编码助手的 skills 目录。
2. 启动后对 AI 说"审计这个项目"“检查我的代码安全性”“看下越权/注入”。
3. 技能按意图路由到对应模块/漏洞库，或执行完整审计主流程。
4. 遵守 skills 内 rules/redlines.md 的审计红线（只审自有代码、最小伤害）。

目录结构

text
fullstack-security-audit/
├── SKILL.md                # 主入口（意图路由 + 完整审计流程）
├── LICENSE                 # 专有许可证
├── rules/                  # 红线 / 报告格式 / 最小伤害原则（3篇）
├── modules/                # 威胁建模 / 数据流分析 / 依赖审计 / 密钥扫描
├── kb/backend/             # 后端漏洞库 24 篇（四段式）
├── kb/frontend/            # 前端漏洞库 16 篇（四段式）
├── kb/quickscan/           # Spring / Laravel / Django / Node / Go 速查
└── hooks/                  # secret-scan.py / dep-scan.py 审计脚本

许可证

• 专有许可证，买断制。
• 可转售（原版或修改版），必须保留 ycc77.cn 链接，并注明"基于杨CC资源站 Skill-大师-倩倩 原创技能"。
• 仅限防御性用途，禁止用于对未授权第三方系统做渗透测试。

注意事项

• 本技能只面向自有/已授权代码，遵守 skills 内红线。
• 漏洞核实（CVE、依赖）需配合漏洞库在审计时执行，技能不实时联网。
• 需有 Python 环境以运行 hooks 脚本（非必需，纯规则审计也可用）。