Ein einziges Template-Literal in db.query() ist eine SQL-Injection, und ein einziges exec() mit einem Wert aus der Anfrage lässt jeden beliebige Befehle auf Ihrem Server ausführen. Dieser Skill findet diese und neun weitere Sicherheitsfehler in Node.js-Servercode (Express, Fastify, Koa, NestJS, reines Node; JavaScript oder TypeScript), bevor Sie mergen oder deployen, und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihre .js- und .ts-Dateien aus. Er entfernt Kommentare, behält Strings bei, verfolgt eine in einer Variablen aufgebaute Abfrage oder einen Befehl (auch mit +=) bis zum ausführenden Aufruf und kennt promisify(exec), mysql2, pg, knex, Prisma-Raw-Queries, better-sqlite3 und TypeORM. Platzhalter und getaggte Abfragen sind unbedenklich. Browsercode und Testdateien werden übersprungen. Er führt nie Node aus und installiert keine Pakete. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• E01: Command Injection: exec oder execSync mit einem Befehl aus veränderlichen Werten

• E02: SQL, das mit einem Template-Literal oder + aufgebaut und an query(), execute(), prepare(), $queryRawUnsafe() oder whereRaw() übergeben wird

• E03: eval, new Function oder das vm-Modul auf veränderlichem Code

• E04: ein fest codiertes JWT-Secret, Session-Secret, Passwort oder API-Schlüssel

REVIEW (vor dem Release prüfen)

• E11: CORS mit beliebigem Origin und Credentials (cors, NestJS enableCors, Fastify)

• E12: jwt.decode ohne verify, der Algorithmus none oder ignoreExpiration

• E13: deaktivierte TLS-Zertifikatsprüfungen

• E14: secure oder httpOnly auf false bei Session-Cookies

• E15: res.redirect() auf eine URL aus der Anfrage

• E16: Math.random() für Tokens, Codes oder Salts

• E17: Stacktraces, die an Clients gesendet werden

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Ein riskanter und ein sicherer Beispielserver sowie der echte Bericht des Scanners zum riskanten

Grenzen

Er liest Code als Text, nicht als vollständiger JavaScript-Parser: Werte werden nur innerhalb einer Datei verfolgt, MongoDB-Injection, ORM-Escaping und Abhängigkeiten werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 7 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.