1
2
3
4
5
6
7
8
| 以下是即将合入的代码（粘贴）。你同时扮演两个角色：
【角色1：白帽】找出安全问题，按 OWASP Top 10 归类：
每条给出：位置 / 攻击路径（具体到"攻击者输入什么会发生什么"）/ 严重度 / 修复代码
【角色2：怀疑者】对角色1的每条发现，评估误报可能性并说明理由
【约束】
1. 只基于我贴的代码，不要假设我没贴的部分"应该没问题"——列出你无法看到、需要我补充的部分
2. 重点盯：用户输入的每一条数据流向（入口→处理→存储→输出）
3. 没有发现也要输出"已检查项清单"，禁止空手而归
|
1
2
3
4
5
6
| 【输入】权限模型描述：（角色有哪些、各能干什么）；接口清单+代码：（粘贴）
【任务】枚举越权测试矩阵：
1. 水平越权：每个"按 ID 取数据"的接口，用户改 ID 访问他人数据会怎样？逐个接口回答
2. 垂直越权：普通用户直接调管理接口会怎样？逐个接口回答
3. 输出表格：接口 / 预期拦截点 / 代码里实际拦截了吗 / 建议的手工验证步骤
【约束】"没看到显式校验"就标 ❌，宁可误报不可漏报——我会逐个手工验证。
|
1
2
3
4
5
6
| 【输入】扫描报告：（粘贴 npm audit / pip audit 等输出）；项目实际用到这些依赖的方式：（描述）
【任务】把报告变成行动清单：
1. 过滤：哪些漏洞在本项目中根本不可达（说明判断依据）
2. 排序：可达的按「利用难度 × 影响」排序
3. 行动：每条给处置方式（升级/替换/配置缓解/接受风险+理由）
【约束】"接受风险"的建议必须写明触发条件和复查时间，不许一句"影响不大"带过。
|
1
2
3
4
5
| 【背景】一人公司，服务架构：（粘贴）；托管平台：xxx；域名/证书/数据库分别在：xxx
【任务】起草一页纸安全应急预案，覆盖三种场景：
1. 疑似数据泄露 2. 服务器被入侵/勒索 3. 密钥泄露
每场景：立即动作（按分钟排序，含具体命令/控制台路径）→ 止损 → 取证 → 用户公告要点
【约束】动作必须具体到我半夜三点照着做不会错；不确定我环境的地方标【需我确认】。
|
