console.log("login", req.body) in einer Login-Route schreibt das Passwort jedes Benutzers in Ihren Log-Dienst, und log.info("user={}", user) gibt jedes Feld des Benutzerobjekts aus, einschließlich Passwort-Hash. Logs werden an mehr Orte kopiert und von mehr Menschen gelesen als die Datenbank, aus der die Daten stammen. Dieser Skill findet diese und elf weitere Logging-Fehler vor der Auslieferung und erklärt Ihnen, wie Sie jeden einzelnen beheben.

Ihr Agent führt einen Scanner über Code in Python, JavaScript und TypeScript, Java, Kotlin, Go, Ruby, PHP und C# aus, außerdem über application.properties und application.yml von Spring Boot, appsettings.json von ASP.NET Core, logback- und log4j-Dateien, sentry.properties und .env.production. Er findet jeden Logging- oder Print-Aufruf (Python logging, structlog, print; console, pino, winston, NestJS; SLF4J, Log4j, Android Log, kotlin-logging; Go log, slog, zap, logrus; Rails-Logger; Laravel Log, error_log; ILogger, Serilog) und liest, was er schreibt: Argumente, Objektschlüssel, f-Strings und Template-Strings sowie den Wert nach einer Bezeichnung wie "password=%s" oder einem {Password}-Platzhalter im Template. Er erkennt, wenn ein Wert nur geprüft, gemessen, gekürzt oder maskiert wird (token is None, len(token), token[:6], mask(card)), und dass eine Exception kein Geheimnis ist (logger.error("Failed to refresh token: %s", e)). Er berücksichtigt pino-redact-Pfade für Objektschlüssel in pino-Aufrufen, Go-LogValuer-Typen und in derselben Datei deklarierte Typen, deren geheime Felder aus Logs herausgehalten werden (SecretStr, field(repr=False), @ToString.Exclude, [NotLogged]). Er überspringt nur die Profile dev, development, local, test, ci und staging und behandelt die print-Ausgabe von Kommandozeilen-Tools als Ausgabe, nicht als Logs, während Lambda-Handler, Celery-Tasks und Web-Apps weiterhin als Logs zählen. Er führt Ihren Code niemals aus. Er gibt BLOCK, REVIEW oder NOT FLAGGED zurück, mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• P01: Passwörter, Tokens, API-Schlüssel, Client- und AWS-Secret-Access-Keys, private Schlüssel, Einmalcodes, Datenbank-Verbindungsstrings und -URLs oder die gesamte Umgebung, in ein Log geschrieben oder ausgegeben
• P02: Werte von Authorization-, Cookie- oder API-Key-Headern (auch über HttpHeaders.AUTHORIZATION und HeaderNames.Authorization), die Session-ID oder Cookies einer Anfrage, morgan :req[authorization] oder Authorization, das dem HTTP-Logging von ASP.NET Core hinzugefügt wurde
• P03: Kartennummern und CVV/CVC-Sicherheitscodes
• P04: der gesamte Body oder das gesamte Formular einer Login-, Registrierungs- oder Passwortanfrage

REVIEW (vor dem Release prüfen)

• P11: E-Mail-Adressen, Telefonnummern, Postanschriften und Geburtsdaten
• P12: Sozialversicherungs-, Personalausweis-, Reisepass-, Steuer- und Führerscheinnummern, IBANs, Bankkonto-, Bankleit- und Patientenaktennummern
• P13: ganze Benutzer-, Kunden-, Konto- oder Anfrageobjekte, Login- oder Registrierungsanfrageobjekte, Header-Sammlungen und Anfrage-Sessions
• P14: ganze Request-Bodys, Formulare, Query-Strings und Parametersammlungen
• P15: DEBUG oder TRACE als Root- oder Standard-Level in der Produktionskonfiguration (Spring Boot, appsettings.json, logback, log4j, Rails production.rb, .env.production, ein Django-Root-Logger in Produktion)
• P16: HTTP-Body- oder Header-Logging, das außerhalb einer Entwicklungsprüfung eingeschaltet ist (ASP.NET Core HttpLoggingFields, Spring log-request-details und Request-Logging-Filter, OkHttp HttpLoggingInterceptor ohne redactHeader, Python http.client debuglevel, Go httputil.DumpRequest)
• P17: SQL-Parameterwerte in Logs (EF Core EnableSensitiveDataLogging außerhalb einer Entwicklungsprüfung, Hibernate-Bind-Logger auf TRACE)
• P18: Sentry send-default-PII eingeschaltet oder eine dataCollection- / data_collection-Einstellung, die Benutzerinformationen, Cookies, Header oder Bodys aktiviert lässt
• P19: ein neutral benannter Wert, der direkt nach einer Nachrichtenbezeichnung geloggt wird, die ein Geheimnis benennt ("password: %s", value)

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Vorgehen und Quelle (OWASP, CWE, PCI SSC, Microsoft, Sentry) für jede Regel
• Ein riskantes und ein sicheres Beispielprojekt in fünf Sprachen sowie der echte Bericht, den der Scanner für das riskante Projekt erzeugt

Grenzen

Er entscheidet anhand von Namen: Ein Wert in einer Variablen namens x oder result wird nur gemeldet, wenn eine Bezeichnung, ein Schlüssel oder eine Zuweisung in derselben Datei angibt, was er enthält, und Werte, die über andere Dateien weitergegeben werden, werden nicht verfolgt. Schwärzungen in eigenen Log-Filtern oder Maskierungsmustern werden nicht erkannt. IP-Adressen und Benutzernamen werden nicht gemeldet, weil das OWASP Logging Cheat Sheet empfiehlt, sie bei Sicherheitsereignissen zu protokollieren. Ein Sentry.init im JavaScript SDK 11 ohne dataCollection wird nicht gemeldet, weil die SDK-Version nicht gelesen wird. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 25 Dateien: SKILL.md, der Scanner in scripts/ (8 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (14 Beispieldateien plus report.md, die echte Ausgabe des Scanners für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agents (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agent dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.