Эндпоинт POST или DELETE без требования безопасности в вашей спецификации OpenAPI сообщает каждому сгенерированному клиенту и шлюзу, что вызвать его может кто угодно. Реальный ключ, вставленный в пример, попадает в вашу публичную документацию. Этот навык находит такие проблемы и еще шесть рисков в спецификациях API и подсказывает, как исправить каждый из них.

Ваш агент запускает сканер для openapi.yaml, swagger.json и подобных файлов в формате YAML или JSON, OpenAPI 3 или Swagger 2. Он определяет защиту каждой операции по глобальным настройкам и настройкам операции, следует за локальными $ref, понимает имена в camelCase, например accessToken, и пропускает POST-запросы к эндпоинтам входа, регистрации и вебхуков. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода.

Что проверяется

BLOCK (исправить до выпуска)

• O01: операция POST, PUT, PATCH или DELETE без защиты

• O02: URL сервера с обычным http://

• O03: правдоподобный API-ключ, токен или секрет в примере

REVIEW (проверить перед релизом)

• O11: операция GET без защиты в API, который использует аутентификацию

• O12: API-ключ, передаваемый в строке запроса

• O13: поток OAuth2 implicit или password

• O14: HTTP Basic-аутентификация

• O15: токен или пароль, передаваемый как параметр запроса или пути

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный примеры спецификаций, а также реальный отчет сканера по рискованному

Ограничения

Сканер читает спецификацию, а не ваш сервер, и не следует за $ref в другие файлы. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 8 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (2 файла-примера, а также report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.