Одного db.Query(fmt.Sprintf("... '%s'", name)) или InsecureSkipVerify: true достаточно, чтобы потерять данные. Этот навык выявляет эти и ещё девять ошибок безопасности Go до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов .go. Сканер пропускает комментарии, понимает строки Go (включая необработанные строковые литералы), отслеживает SQL, сформированный в переменной, до вызова, который его выполняет, и распознаёт значения из запроса (FormValue, параметры строки запроса URL, параметры gin, echo и chi). Он знает безопасные подходы: заполнители ($1, ?), фиксированные строки, filepath.Base и crypto/rand. Сгенерированные файлы пропускаются. Он никогда не запускает Go. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• G01: SQL, сформированный через fmt.Sprintf или + и переданный в Query, Exec, sqlx либо Raw и Where в GORM

• G02: exec.Command запускает оболочку с командой, которая не является фиксированной строкой

• G03: секрет, пароль, ключ API или ключ подписи JWT, жёстко заданный в коде

• G04: разрешён алгоритм JWT none

ПРОВЕРКА (проверить до выпуска)

• G11: InsecureSkipVerify: true

• G12: math/rand используется для токенов, секретов, одноразовых паролей или солей

• G13: md5, sha1 или sha256 для паролей

• G14: http.ListenAndServe или http.Server без тайм-аутов

• G15: пути к файлам из запроса в os.Open, ServeFile и аналогичных вызовах

• G16: импортирован net/http/pprof

• G17: CORS разрешает все источники вместе с учётными данными

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Пример сервиса Go с рисками и безопасный вариант, а также реальный отчёт сканера по примеру с рисками

Ограничения

Сканер читает код как текст, а не как средство проверки типов Go: значения отслеживаются в пределах одного файла. Зависимости, известные CVE (используйте govulncheck) и потоки данных между пакетами не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 12 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (6 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.