api-security

仓库创建 2026年7月1日最近提交 23 天前SkillHot 收录 22 天前

▸ 精选理由

便于审查与生成符合最佳实践的安全 API 设计。

这个 Skill 做什么

提供基于 OWASP 的 API 安全规则与鉴权、输入校验建议。

把 OWASP API Top 10 的思路落到 API 设计上：每个非公开接口要鉴权、按对象做授权、对输入严格校验并防止 IDOR/BOLA 等问题。用在写接口、生成路由权限或数据校验代码时。特点是默认认证、细粒度权限检查和输入/速率防护都要同时考虑。

▸ 展开 SKILL.md 英文原文

Apply OWASP API Top 10 patterns to authentication, authorization, and input validation

开发编程API安全OWASP鉴权授权通用

Stars

Forks

仓库内 Skill

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/api-security/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/api-security/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# API Security

## Rules (for AI agents)

### ALWAYS
- Require authentication on every non-public endpoint. Default to authenticated; opt
  out for genuinely public routes by explicit annotation.
- Apply authorization at the object level — confirm the authenticated subject actually
  has access to the requested resource ID, not just that they're logged in (defeats
  the OWASP API1 BOLA / IDOR class).
- Bind object-level authz to the **gateway-authenticated principal**, never to an
  actor id echoed in the request: a check that a request-supplied
  `senderId`/`ownerId`/`actedBy` is a valid member validates the *claimed* actor, not
  the caller (looks like authz, isn't).
- On `/{scopeId}/.../{

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有