PR 보안 리뷰

무엇을 해주나

• PR의 베이스 브랜치를 자동 판별(gh pr view→업스트림→origin/HEAD)한 뒤 git diff --merge-base로 변경분만 수집합니다.
• 주입(SQL/명령어/템플릿/NoSQL/경로 탐색), 인증·인가 우회, 암호화·시크릿 관리, 역직렬화·eval·XSS, 데이터 노출 등 5개 카테고리를 중점 점검합니다.
• 1차 서브태스크가 취약점 후보를 찾고, 후보마다 병렬 서브태스크를 띄워 오탐을 걸러낸 뒤 신뢰도 8 미만은 전부 제거합니다.
• DoS, 레이트 리밋, 오래된 라이브러리, 문서 파일, 테스트 전용 파일 등 노이즈성 항목은 명시적으로 제외합니다.
• 최종 결과는 파일·라인·심각도·카테고리·공격 시나리오·수정 권고가 담긴 마크다운 리포트로만 출력됩니다.

이런 분께 추천

• PR 머지 전 보안 게이트를 두고 싶은 백엔드/풀스택 개발자
• 리뷰어 수가 부족해 자동 보안 점검이 필요한 소규모 팀
• 보고서에 오탐이 많아 보안 자동화를 포기했던 테크리드
• super-qa 워크플로의 Tester 레인에서 자동 QA를 돌리는 팀

활용 예시

1. 사용자 로그인 API를 수정한 브랜치에서 "pr security review"라고 입력 → JWT 검증 우회 가능성과 수정 권고를 리포트로 받음.
2. 파일 업로드 기능 PR에서 /pr-security-review 실행 → 경로 탐색(path traversal) 취약점을 라인 번호와 공격 시나리오까지 포함해 확인.
3. 외부 명령 실행이 추가된 PR에서 명령어 주입 후보를 찾은 뒤, 병렬 필터링으로 실제 악용 경로가 없는 항목은 자동 제외.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/EricTechPro/super-board/HEAD/skills/pr-security-review/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

AI 스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 EricTechPro/super-board 의 skills/pr-security-review 폴더를 내 ~/.claude/skills/pr-security-review/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.