debug=True im Produktivbetrieb gibt jedem Zugriff auf eine Python-Konsole auf deinem Server. Ein fest codierter SECRET_KEY ermöglicht es jedem, Sitzungen zu fälschen. Dieser Skill findet diese und zehn weitere Flask-Fehler vor der Bereitstellung und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für deine Python-Dateien und Jinja-Vorlagen aus. Er liest Python mit dessen eigenem Parser, verfolgt Werte aus request.args, request.form, request.json und URL-Variablen durch deinen Code und erkennt sichere Muster: Umgebungsvariablen, secure_filename, safe_join, url_for, parametrisiertes SQL und numerische URL-Konverter. Er liest .gitignore, damit Geheimnisse in ignorierten Konfigurationsdateien nicht gemeldet werden. Er startet deine App niemals. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• F01: aktivierter Debug-Modus (app.run(debug=True), DEBUG = True)

• F02: ein fest codierter SECRET_KEY, JWT-Schlüssel, Passwort, Token oder API-Schlüssel

• F03: render_template_string mit einer nicht fest vorgegebenen Vorlage (Template-Injection)

• F04: SQL, das mit f-Strings, %, .format() oder + zusammengesetzt und mit execute oder text() ausgeführt wird

• F05: send_file oder open mit einem Pfad aus der Anfrage

PRÜFEN (vor der Veröffentlichung kontrollieren)

• F11: CORS mit Zugangsdaten und ohne Liste erlaubter Ursprünge

• F12: Markup() für Anfragedaten, |safe oder deaktiviertes automatisches Escaping in Vorlagen

• F13: Sitzungs- oder Remember-Cookies ohne Secure oder HttpOnly

• F14: deaktivierter CSRF-Schutz oder davon ausgenommene Views

• F15: Weiterleitung auf eine URL aus der Anfrage

• F16: Uploads werden mit dem vom Benutzer angegebenen Dateinamen gespeichert

• F17: app.run(host='0.0.0.0')

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Eine beispielhafte Flask-App mit Risiken und eine sichere Variante sowie der tatsächliche Scannerbericht zum Beispiel mit Risiken

Grenzen

Werte werden innerhalb einer Datei verfolgt. Eigene Einstellungen von Erweiterungen, dein WSGI-Server, Reverse-Proxy und Abhängigkeiten werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 13 Dateien: SKILL.md, der Scanner unter scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (7 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.