Password= в appsettings.json, одного FromSqlRaw($"... {id}") или ValidateLifetime = false достаточно, чтобы потерять базу данных или позволить любому войти в систему. Этот навык выявляет эти и ещё девять ошибок ASP.NET до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для проекта .NET: appsettings*.json, web.config, Program.cs, Startup.cs и остального кода C#. Сканер пропускает комментарии, понимает строки C# (включая буквальные и интерполированные), отслеживает SQL, сформированный в переменной, до вызова, который его выполняет, и определяет, находится ли код внутри проверки IsDevelopment(). Он распознаёт безопасные подходы: FromSqlInterpolated, параметры, секреты пользователя и заполнители. Он никогда не запускает dotnet. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• N01: пароль в строке подключения или настройка с именем, указывающим на секрет, и значением, заданным литералом

• N02: SQL, сформированный через интерполяцию, + или string.Format и выполняемый через FromSqlRaw, ExecuteSqlRaw, SqlCommand и аналогичные вызовы

• N03: страница исключений для разработчика вне среды разработки или customErrors Off

• N04: CORS разрешает любой источник вместе с учётными данными

• N05: проверка JWT допускает токены без подписи

ПРОВЕРКА (проверить до выпуска)

• N11: в конвейере нет перенаправления на HTTPS и HSTS

• N12: отключена проверка срока действия, издателя, аудитории или ключа подписи

• N13: обратные вызовы проверки сертификатов принимают любые сертификаты

• N14: EnableSensitiveDataLogging вне среды разработки

• N15: cookie без Secure или HttpOnly

• N16: отключена защита от подделки запросов

• N17: в web.config включена отладочная компиляция или трассировка

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Пример проекта ASP.NET Core с рисками и безопасный вариант, а также реальный отчёт сканера по примеру с рисками

Ограничения

Сканер читает код и конфигурацию как текст, а не как компилятор C#: значения отслеживаются в пределах одного файла. Переменные окружения, Azure Key Vault, секреты пользователя и пакеты NuGet не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 14 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (8 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.