Ein Password= in appsettings.json, ein einziges FromSqlRaw($"... {id}") oder ValidateLifetime = false reicht aus, um deine Datenbank zu verlieren oder jedem die Anmeldung zu ermöglichen. Dieser Skill findet diese und neun weitere ASP.NET-Fehler vor der Bereitstellung und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für dein .NET-Projekt aus: appsettings*.json, web.config, Program.cs, Startup.cs und den restlichen C#-Code. Er überspringt Kommentare, versteht C#-Strings (einschließlich Verbatim-Strings und interpolierter Strings), verfolgt in Variablen zusammengesetztes SQL bis zum ausführenden Aufruf und erkennt Code innerhalb einer IsDevelopment()-Prüfung. Er kennt sichere Muster: FromSqlInterpolated, Parameter, Benutzergeheimnisse und Platzhalter. Er führt dotnet niemals aus. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• N01: ein Passwort in einer Verbindungszeichenfolge oder eine als Geheimnis benannte Einstellung mit einem literalen Wert

• N02: SQL, das mit Interpolation, + oder string.Format zusammengesetzt und mit FromSqlRaw, ExecuteSqlRaw, SqlCommand oder ähnlichen Aufrufen ausgeführt wird

• N03: die Entwickler-Fehlerseite außerhalb der Entwicklungsumgebung oder customErrors Off

• N04: CORS erlaubt beliebige Ursprünge zusammen mit Zugangsdaten

• N05: JWT-Validierung akzeptiert unsignierte Tokens

PRÜFEN (vor der Veröffentlichung kontrollieren)

• N11: keine HTTPS-Weiterleitung und kein HSTS in der Pipeline

• N12: deaktivierte Prüfungen von Gültigkeitsdauer, Aussteller, Zielgruppe oder Signaturschlüssel

• N13: Rückruffunktionen zur Zertifikatsprüfung akzeptieren alles

• N14: EnableSensitiveDataLogging außerhalb der Entwicklungsumgebung

• N15: Cookies ohne Secure oder HttpOnly

• N16: deaktivierter Schutz vor gefälschten Anfragen

• N17: Debug-Kompilierung oder Tracing in web.config aktiviert

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Ein beispielhaftes ASP.NET-Core-Projekt mit Risiken und eine sichere Variante sowie der tatsächliche Scannerbericht zum Beispiel mit Risiken

Grenzen

Der Scanner liest Code und Konfiguration als Text und arbeitet nicht wie ein C#-Compiler: Werte werden innerhalb einer Datei verfolgt. Umgebungsvariablen, Azure Key Vault, Benutzergeheimnisse und NuGet-Pakete werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 14 Dateien: SKILL.md, der Scanner unter scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (8 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.