Ein in main.py hinterlegter SECRET_KEY ermöglicht es jedem, Tokens zu fälschen; mit verify_signature False kann jeder seine eigene Benutzer-ID wählen. Dieser Skill findet diese und neun weitere FastAPI-Fehler vor der Bereitstellung und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für deine Python-Dateien aus. Er liest Python mit dessen eigenem Parser, verfolgt Routen- und Abfrageparameter durch deinen Code und erkennt sichere Muster: Einstellungen aus der Umgebung, Pydantic-Einstellungen ohne Standardwerte, gebundene SQL-Parameter, passlib mit bcrypt oder argon2 und os.path.basename. Er startet deine App niemals. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• A01: ein fest codierter geheimer Schlüssel, JWT-Schlüssel, Passwort, Token oder API-Schlüssel

• A02: jwt.decode ohne Signaturprüfung oder der Algorithmus none

• A03: SQL, das mit f-Strings, %, .format() oder + zusammengesetzt und mit execute oder text() ausgeführt wird

• A04: CORS mit (oder .) und allow_credentials=True

PRÜFEN (vor der Veröffentlichung kontrollieren)

• A11: /docs und /openapi.json öffentlich zugänglich (FastAPI() ohne docs_url oder openapi_url)

• A12: debug=True oder uvicorn reload=True

• A13: md5, sha1 oder sha256 für Passwörter, schwache CryptContext-Verfahren oder Passwortvergleiche mit ==

• A14: JWTs ohne exp-Claim erstellt

• A15: Dateipfade aus Routen- oder Abfrageparametern

• A16: TrustedHostMiddleware mit allowed_hosts ['*']

• A17: Ausnahmetexte oder Stacktraces in Antworten

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Eine beispielhafte FastAPI-App mit Risiken und eine sichere Variante sowie der tatsächliche Scannerbericht zum Beispiel mit Risiken

Grenzen

Werte werden innerhalb einer Datei verfolgt. Abhängigkeiten, dein ASGI-Server, Reverse-Proxy und auf mehrere Dateien verteilte Authentifizierungslogik werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 12 Dateien: SKILL.md, der Scanner unter scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (7 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.