Ein einziges db.Query(fmt.Sprintf("... '%s'", name)) oder InsecureSkipVerify: true reicht aus, um deine Daten zu verlieren. Dieser Skill findet diese und neun weitere Go-Sicherheitsfehler vor der Bereitstellung und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für deine .go-Dateien aus. Er überspringt Kommentare, versteht Go-Strings (einschließlich Raw-Strings), verfolgt in Variablen zusammengesetztes SQL bis zum ausführenden Aufruf und erkennt Werte aus der Anfrage (FormValue, URL-Abfragen sowie gin-, echo- und chi-Parameter). Er kennt sichere Muster: Platzhalter ($1, ?), feste Strings, filepath.Base und crypto/rand. Generierte Dateien werden übersprungen. Er führt Go niemals aus. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• G01: SQL, das mit fmt.Sprintf oder + zusammengesetzt und an Query, Exec, sqlx oder GORM Raw und Where übergeben wird

• G02: exec.Command startet eine Shell mit einem Befehl, der kein fester String ist

• G03: ein fest codiertes Geheimnis, Passwort, API-Schlüssel oder JWT-Signaturschlüssel

• G04: erlaubter JWT-Algorithmus none

PRÜFEN (vor der Veröffentlichung kontrollieren)

• G11: InsecureSkipVerify: true

• G12: math/rand für Tokens, Geheimnisse, Einmalpasswörter oder Salts

• G13: md5, sha1 oder sha256 für Passwörter

• G14: http.ListenAndServe oder ein http.Server ohne Zeitlimits

• G15: Dateipfade aus der Anfrage in os.Open, ServeFile und ähnlichen Aufrufen

• G16: net/http/pprof importiert

• G17: CORS erlaubt alle Ursprünge zusammen mit Zugangsdaten

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Ein beispielhafter Go-Dienst mit Risiken und eine sichere Variante sowie der tatsächliche Scannerbericht zum Beispiel mit Risiken

Grenzen

Der Scanner liest Code als Text und arbeitet nicht wie die Go-Typprüfung: Werte werden innerhalb einer Datei verfolgt. Abhängigkeiten, bekannte CVEs (dafür govulncheck verwenden) und Datenflüsse über Paketgrenzen hinweg werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 12 Dateien: SKILL.md, der Scanner unter scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (6 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.