secure-code-guardian - Secure Code Guardian, безопасный вход

Когда звать

• Когда агент пишет вход в личный кабинет, хранение паролей или токены и нужно, чтобы он не оставил типичных дыр вроде запросов к базе из склеенных строк.
• Когда пишешь форму или интерфейс, принимающий данные от людей, и нужны проверка ввода, лимиты запросов и защитные заголовки.

Что это

Если агент пишет вход в личный кабинет по умолчанию, дыры в нём встречаются чаще, чем хочется: пароли без нормального хеширования, запросы к базе из склеенных строк, токены без срока жизни. Причина в запросе: ты просишь «сделай вход», а про безопасность ничего не говоришь.

Secure Code Guardian закрепляет защитные правила. По SKILL.md цикл такой: описать угрозы, спланировать защиту, написать код с защитой в несколько слоёв, проверить контрольными проверками и записать принятые решения.

Что он требует

Обязательное: хешировать пароли через bcrypt или argon2 (MD5 и SHA-1 не годятся); запросы к базе писать с параметрами; проверять и очищать весь ввод; ограничивать частоту запросов на входе; ставить защитные заголовки (CSP, HSTS, X-Frame-Options); записывать в журнал попытки взлома; хранить секреты в переменных окружения или менеджере секретов.

Запрещено: хранить пароли открытым текстом или обратимо зашифрованными, верить пользовательскому вводу, показывать чувствительные данные в журналах и ошибках, использовать устаревшие алгоритмы (MD5, SHA-1, DES, режим ECB), вписывать секреты в код.

Контрольные проверки

Сильная часть скилла - проверки после каждого шага. Вход: защита от подбора пароля, срок жизни токена, и сообщение об ошибке не должно выдавать, существует ли пользователь. Права: нельзя получить чужие данные с токеном другой роли. Ввод: заведомо вредные запросы должны отбиваться. Заголовки: проверка через curl -I или сканер вроде Mozilla Observatory.

Ещё в скилле пять примеров кода: хеширование пароля, запрос к базе с параметрами, проверка формы через zod, проверка токена и защищённая точка входа целиком.

Как поставить

Из README и QUICKSTART автора.

В Claude Code (ставится весь набор из 67 скиллов):

/plugin marketplace add jeffallan/claude-skills
/plugin install fullstack-dev-skills@fullstack-dev-skills

В Codex отдельной инструкции у автора нет. Универсальная установка только скиллов через skills.sh описана так, мы её для Codex не запускали:

npx skills add jeffallan/claude-skills

Чтобы взять только этот скилл, скопируй вручную папку skills/secure-code-guardian. Общая инструкция - в статье как установить скилл в Claude Code.

Проверка: попроси «сделай форму входа на Node.js». Агент должен предложить хеширование, лимит попыток и проверку ввода, не дожидаясь напоминания.

Предел возможностей

Скилл не заменяет аудит. Он помогает не допустить типичных ошибок при написании кода, но не ищет уязвимости в уже готовом проекте. Для этого в описании скилла прямо рекомендованы более специальные инструменты.

Ещё: не вставляй настоящие ключи в разговор с агентом, даже когда он просит «показать пример переменных». Настоящие значения кладутся в окружение отдельно.

Мы прочитали SKILL.md целиком, список справочных файлов, проверили версию и лицензию на 22 октября 2026 года. Скилл мы не запускали. Рядом по теме: API Designer и Debugging Wizard.