Analyzing Security

Scans your codebase for security vulnerabilities using pattern matching across SQL injection, XSS, path traversal, hardcoded secrets, and other OWASP risks. Automatically runs on new modules, security-related changes, and post-refactor. Critical and high severity findings (injection flaws, exposed credentials) block delivery, while medium and low can be accepted with documented rationale in DESIGN.md. The implementation is surprisingly practical about false positives, offering exclude patterns and context-based severity downgrading. For example, MD5 for hash bucketing or non-crypto random for jitter get a pass. Ships with a Node script that outputs human or JSON formats for CI integration. Chains nicely with other skills like securing-systems for remediation guidance.

GitHub stars: 224
last updated: Jun 10, 2026

View on GitHub

Install

$ npx -y skills add telagod/code-abyss --skill analyzing-security --agent claude-code

Installs into .claude/skills of the current project.

Files

安全校验关卡

判断先于执行：决定「是否做 / 选什么 / 如何取舍」（栈、方案、架构、权衡）前，先读领域判断内核 skills/_kernel/security/SKILL.md——它管 judgment，本秘典管 execution；冲突时以内核判断为准。

自动化扫描捕捉模式，但严重度判定与处置取决于上下文——sink、信任边界、补偿控制。

何时使用

场景	必跑	理由
新模块落地	✅	引入新攻击面
安全相关变更	✅	直接触及威胁面
重构完成	✅	防止重构引入退化
提交前（含敏感数据/外部输入处理）	✅	最后一道闸
攻防任务交付	✅	验收前自检
仅文档/样式改动	❌	无攻击面变化

何时不使用

依赖更新（用 SCA 工具如 npm audit、pip-audit，不是模式扫描）
运行时漏洞（用 DAST，不是静态扫描）
配置审计（用 CIS Benchmark 或专用工具）

解读输出

严重度（critical / high / medium / low）+ 类别（注入 / 敏感信息 / XSS / 反序列化 / 路径遍历 / SSRF / 弱加密 / 不安全随机 / 调试残留）。

必修

Critical（SQL 注入、命令注入、硬编码密钥、AWS Key、私钥）→ 阻断交付，无例外。
High（XSS、反序列化、路径遍历、SSRF）→ 修复或显式接受风险（需 DESIGN.md 留痕 + 补偿控制）。

上下文降级条件

Medium/Low 可在 DESIGN.md 标注「已知/已评估」后保留。判据：
- 弱加密 MD5/SHA1 用于非安全场景（如 hash bucket）→ 可接受
- random 用于非安全场景（如 jitter）→ 可接受
- 调试残留在 dev-only 构建 → 可接受，prod 构建必须剔除