编程开发
让 AI 辅助做代码安全审查
从输入到危险操作追踪数据流，并验证每个安全发现。
OUTCOME
先看最终成果
一份按严重程度排序、包含证据、利用条件和修复建议的安全审查报告。
STEP BY STEP
跟着步骤完成
- 01
绘制攻击面
识别外部入口、身份认证、权限边界、文件和网络操作。
- 02
追踪不可信输入
沿代码路径检查输入到数据库、命令、HTML、文件和外部请求的流向。
- 03
检查横向风险
审计密钥、依赖、加密、会话、限流和业务逻辑。
- 04
验证每个发现
确认框架或上游校验是否已缓解，降低误报。
- 05
分级并修复
写明受影响位置、触发条件、影响和最小修复方案。
PROMPT
可直接使用的提示词
请对{{范围}}执行防御性安全审查。先列出攻击面和信任边界，再检查注入、认证授权、密钥、依赖、加密、SSRF、文件操作和业务逻辑。每个发现必须包含文件位置、数据流证据、利用前提、严重程度、误报核验和修复建议。未经确认不要自动修改。把双大括号中的内容替换为你的真实信息。先补足上下文，再追求表达效果。
QUALITY CHECK
交付前检查
- 审查范围和威胁模型明确
- 每个发现都有代码证据
- 检查过现有防护避免误报
- 高危问题有具体修复方案
- 修复后进行了回归验证
SOURCE
来源与改编说明
原始技能Security Review
- 仓库
- github/awesome-copilot
- 作者
- GitHub 社区贡献者
- 许可证
- MIT License
- 参考日期
- 2026-09-28
本站参考原技能的任务框架，重新编写为适合中文用户的实践教程，并非原项目官方译文。