Ein einziges conn.Query<User>($"... WHERE Email = '{email}'") oder ein einziges new BinaryFormatter().Deserialize(Request.Body) genügt, um Ihre Daten oder die Kontrolle über Ihren Server zu verlieren. Dieser Skill findet diese und elf weitere Sicherheitsfehler in C# vor dem Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre .cs-Dateien und Ihre .cshtml- und .razor-Ansichten aus. Er überspringt Kommentare, Tests, generierten Code sowie die Ordner bin und obj, versteht wörtliche, interpolierte und Raw-Strings einschließlich der Werte in {...}, verfolgt in Variablen oder einem StringBuilder zusammengesetztes SQL bis zum ausführenden Aufruf und erkennt Werte aus Anfragen (Parameter von Controllern, Razor Pages und Minimal APIs, [FromQuery], [BindProperty], Request.Query, IFormFile.FileName). Er kennt sichere Muster, sodass üblicher EF-Core- und Dapper-Code unbeanstandet bleibt: FromSql und FromSqlInterpolated, ExecuteSqlInterpolated, FromSqlRaw mit {0}-Platzhaltern, @Name-Parameter, LINQ, Konstanten und int-Werte, per switch ausgewählte oder anhand einer Liste geprüfte Sortierspalten, Path.GetFileName, Url.IsLocalUrl und RandomNumberGenerator. Der Scanner kompiliert oder startet C# niemals. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• C01: mit +, $"...{value}", string.Format oder StringBuilder zusammengesetztes SQL, ausgeführt über SqlCommand, CommandText, Dapper, EF Core FromSqlRaw, ExecuteSqlRaw oder SqlQueryRaw, EF6 SqlQuery oder NHibernate

• C02: Process.Start oder ProcessStartInfo mit cmd, powershell oder bash und einer veränderlichen Anweisung oder einem Programm bzw. einer Arguments-Zeichenfolge aus der Anfrage

• C03: BinaryFormatter, SoapFormatter, NetDataContractSerializer, LosFormatter, Json.NET TypeNameHandling ohne Binder, Type.GetType mit einem Typnamen aus der Anfrage

• C04: fest hinterlegte Passwörter, API-Schlüssel, JWT-Signaturschlüssel, Client-Geheimnisse, Anmeldedaten, direkt im Identity-Initialisierungscode hinterlegte Passwörter (UserManager.CreateAsync) sowie Password= oder AccountKey= in Verbindungszeichenfolgen

REVIEW (vor dem Release prüfen)

• C11: Zertifikatsprüfungs-Callbacks, die immer true zurückgeben, und DangerousAcceptAnyServerCertificateValidator

• C12: DES, TripleDES, RC2, ECB-Modus und feste Initialisierungsvektoren

• C13: MD5 oder SHA für Passwörter, Rfc2898DeriveBytes oder PBKDF2 mit weniger als 100.000 Iterationen, Identity-V2-Hashes

• C14: System.Random für Tokens, Einmalpasswörter, Salts und Rücksetzcodes

• C15: Html.Raw, HtmlString und MarkupString mit Werten, die kein fester Text sind (XSS)

• C16: XmlUrlResolver, DtdProcessing.Parse und vertrauenswürdiges XSLT (XXE)

• C17: Dateipfade aus der Anfrage in Path.Combine, File.*, FileStream oder PhysicalFile

• C18: Redirect(returnUrl) ohne Url.IsLocalUrl (offene Weiterleitung)

• C19: in Protokolle geschriebene Passwörter, Tokens, Verbindungszeichenfolgen und der Authorization-Header

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispiel einer Shop-API mit ASP.NET Core und einer Razor-Ansicht sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Der Code wird als Text analysiert, ohne C#-Compiler: Typen sind nicht bekannt und Werte werden innerhalb einer Datei nachverfolgt. appsettings.json, web.config, .csproj-Dateien, NuGet-Pakete und bekannte CVEs werden nicht geprüft. Razor-Ansichten werden nur auf die Ausgabe von rohem HTML untersucht. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 24 Dateien: SKILL.md, der Scanner unter scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (14 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.