Security Fixer

自动修复 neckr0ik-security-scanner 检测到的安全漏洞。

快速开始

# 一键扫描并修复
neckr0ik-security-fixer fix /path/to/skill --auto

# 交互式修复（每次修改均需确认）
neckr0ik-security-fixer fix /path/to/skill

# 仅生成 .env.example 文件
neckr0ik-security-fixer env /path/to/skill

修复内容说明

严重问题（支持自动修复）

高危问题（支持自动修复）

工作原理

1. 对目标 skill 执行安全扫描
2. 针对每个发现的漏洞，生成对应的修复方案
3. 在启用 --auto 参数时自动应用修复；否则逐项提示用户确认
4. 根据检测到的密钥生成 .env.example 文件，包含占位符变量
5. 更新 .gitignore，确保排除 .env 文件

修复示例

硬编码 API Key

修复前：

api_key = "sk-abc123def456..."

修复后：

import os
api_key = os.environ.get("OPENAI_API_KEY")
if not api_key:
    raise ValueError("OPENAI_API_KEY environment variable required")

生成的 .env.example：

OPENAI_API_KEY=your-key-here

Shell 注入

修复前：

os.system(f"convert {filename} output.png")

修复后：

import subprocess
result = subprocess.run(
    ["convert", filename, "output.png"],
    capture_output=True,
    check=True
)

提示注入

修复前：

prompt = f"User says: {user_input}"

修复后：

import re
def sanitize_for_prompt(text: str) -> str:
    return re.sub(r'[<>{}[]\]', '', text[:1000])

prompt = f"User says: {sanitize_for_prompt(user_input)}"

命令说明

fix

neckr0ik-security-fixer fix  [options]

选项：
  --auto        自动应用全部修复，不进行交互确认
  --dry-run     预览将要执行的修复操作，不实际修改文件
  --backup      修改前创建 .bak 备份文件

env

neckr0ik-security-fixer env 

生成内容：
  - .env.example（含占位符的模板文件）
  - 更新 .gitignore，确保忽略 .env 文件

report

neckr0ik-security-fixer report  --format json

输出详细修复报告，包含：
  - 原始存在漏洞的代码片段
  - 修复后的代码
  - 已修改的文件列表
  - 需人工审查的项目

安全特性

• 默认创建备份文件（可通过 --no-backup 禁用）
• 预览模式（Dry-run）：显示变更内容但不实际写入
• 人工审查标记：对需人工判断的复杂问题进行标注
• Git 集成：应用修复前展示 Git diff

参见

• neckr0ik-security-scanner —— 首先用于漏洞扫描
• references/fix-templates.md —— 完整的修复模板库
• scripts/fixer.py —— 主修复逻辑脚本