everything-claude-code/docs/zh-CN/rules/security.md

安全指南

强制性安全检查

在任何提交之前：

• [ ] 没有硬编码的密钥（API 密钥、密码、令牌）
• [ ] 所有用户输入都经过验证
• [ ] 防止 SQL 注入（使用参数化查询）
• [ ] 防止 XSS（净化 HTML）
• [ ] 已启用 CSRF 保护
• [ ] 已验证身份验证/授权
• [ ] 所有端点都实施速率限制
• [ ] 错误信息不泄露敏感数据

密钥管理

// NEVER: Hardcoded secrets
const apiKey = "sk-proj-xxxxx"

// ALWAYS: Environment variables
const apiKey = process.env.OPENAI_API_KEY

if (!apiKey) {
  throw new Error('OPENAI_API_KEY not configured')
}

安全响应协议

如果发现安全问题：

1. 立即停止
2. 使用 security-reviewer 代理
3. 在继续之前修复关键问题
4. 轮换任何已暴露的密钥
5. 审查整个代码库是否存在类似问题