Rà soát thay đổi nhạy cảm về bảo mật | DevPrompt Lab

Mẫu yêu cầu rà soát dựa trên bằng chứng, đường khai thác và cách sửa thực tế; tránh nêu vấn đề suy đoán.

Nội dung có thể tái sử dụng

Hãy rà soát thay đổi được cung cấp với vai trò kỹ sư tập trung vào bảo mật. Kiểm tra phần mã đã đổi và các luồng gọi liên quan. Chỉ xem xét phân quyền, kiểm tra dữ liệu đầu vào, injection, bí mật, phiên đăng nhập, lộ dữ liệu và cách xử lý lỗi khi chúng liên quan đến thay đổi này. Chỉ báo cáo vấn đề có thể tái hiện. Với mỗi phát hiện, nêu mức độ, tệp và dòng, điều kiện xảy ra, đường khai thác hoặc lỗi, tác động và cách sửa tối thiểu. Nếu không xác minh được vấn đề nào, hãy nói rõ và liệt kê các bước đã kiểm tra. Không bịa phát hiện.

Thay đổi:

{{CHANGE}}

Mô hình đe dọa:

{{THREAT_MODEL}}

Lệnh kiểm thử (nếu có):

{{TEST_COMMAND}}

Cách sử dụng

Dán phần diff liên quan và chỉ rõ ranh giới tin cậy. Không đưa bí mật hoặc dữ liệu production vào yêu cầu.

Ví dụ

Phát hiện: [Cao] Thiếu kiểm tra chủ sở hữu

Vị trí: api/ProjectController.php:42

Điều kiện: người dùng đã đăng nhập biết ID dự án của tài khoản khác.

Tác động: có thể đọc bối cảnh dự án của người khác.

Cách sửa: truy vấn theo cả ID dự án và ID người dùng hiện tại.