SECRET_KEY, записанный в main.py, позволяет любому подделывать токены; verify_signature False позволяет любому выбрать себе идентификатор пользователя. Этот навык выявляет эти и ещё девять ошибок FastAPI до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов Python. Сканер использует встроенный парсер Python, отслеживает параметры маршрутов и строки запроса в коде и распознаёт безопасные подходы: чтение настроек из окружения, настройки Pydantic без значений по умолчанию, привязанные параметры SQL, passlib с bcrypt или argon2 и os.path.basename. Он никогда не запускает приложение. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• A01: секретный ключ, ключ JWT, пароль, токен или ключ API, жёстко заданный в коде

• A02: jwt.decode без проверки подписи или алгоритм none

• A03: SQL, сформированный через f-строки, %, .format() или + и выполняемый через execute или text()

• A04: CORS с (или .) и allow_credentials=True

ПРОВЕРКА (проверить до выпуска)

• A11: /docs и /openapi.json оставлены общедоступными (FastAPI() без docs_url или openapi_url)

• A12: debug=True или uvicorn reload=True

• A13: md5, sha1 или sha256 для паролей, слабые схемы CryptContext либо сравнение паролей через ==

• A14: JWT создаются без поля exp

• A15: пути к файлам из параметров маршрута или строки запроса

• A16: TrustedHostMiddleware с allowed_hosts ['*']

• A17: текст исключений или трассировки стека в ответах

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Пример приложения FastAPI с рисками и безопасный вариант, а также реальный отчёт сканера по примеру с рисками

Ограничения

Значения отслеживаются в пределах одного файла. Зависимости, сервер ASGI, обратный прокси и логика аутентификации, распределённая по нескольким файлам, не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 12 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (7 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.