보안 강화 & 취약점 점검

무엇을 해주나

• 위협 모델링 먼저: 신뢰 경계(HTTP 요청, 파일 업로드, 웹훅, LLM 출력 등)를 찾아 STRIDE 표로 빠르게 훑고 악용 시나리오를 테스트로 만들게 안내합니다.
• 3단 규칙 체계: 무조건 해야 할 것(입력 검증, 쿼리 파라미터화, 비밀번호 해싱, 보안 헤더), 사람 승인이 필요한 것(인증 로직 변경, CORS 수정, 업로드 추가), 절대 금지(시크릿 커밋, 민감정보 로깅, eval/innerHTML 사용)로 판단 기준을 정리합니다.
• OWASP Top 10 예방 패턴: 인젝션, 인증 취약점, XSS, 접근제어, 설정 오류, 민감정보 노출, SSRF를 TypeScript 예시 코드로 제시합니다.
• 의존성·공급망 점검: 패키지 매니저 native audit 결과를 심각도와 실제 도달 가능성 기준으로 트리아지하는 결정 트리, 설치 스크립트 차단, 서명/프로버넌스 확인 절차.
• AI/LLM 보안 & 개인정보: 모델 출력=신뢰 불가 데이터 원칙, 프롬프트 인젝션 대응, 토큰/재귀 한도, GDPR·CCPA용 데이터 분류·보존 기간·삭제 경로 설계.
• 체크리스트: 인증/인가/입력/데이터/인프라/공급망/LLM 항목별 리뷰 체크리스트와 레드 플래그 목록.

이런 분께 추천

• 웹 서비스(특히 Node/TypeScript, Express, Next.js)를 만들며 보안 리뷰가 필요한 개발자
• 로그인·세션·결제·PII를 다루는 기능을 구현 중인 팀
• 릴리스 전 의존성 취약점 리포트를 어떻게 판단할지 기준이 필요한 사람
• 챗봇·RAG 등 LLM 기능을 붙이면서 새로운 공격면을 점검하려는 사람

활용 예시

1. "방금 만든 로그인 플로우를 OWASP Top 10 기준으로 감사해줘" → 세션 쿠키 속성, 레이트 리밋, 비밀번호 해싱 라운드, 에러 메시지 노출 여부를 항목별로 점검.
2. "npm audit에서 high 3건이 나왔는데 배포를 막아야 하나?" → 런타임 도달 가능성·dev 전용 여부·패치 존재 여부를 결정 트리로 판정하고, 보류 시 리뷰 날짜까지 기록.
3. "사용자가 입력한 URL로 이미지를 가져오는 기능" → 스킴·호스트 allowlist, 사설 IP 차단, 리다이렉트 금지 코드와 DNS 리바인딩(TOCTOU) 주의점을 함께 제시.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/aiskillstore/marketplace/HEAD/pending/addyosmani/security-and-hardening/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

클로드스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 aiskillstore/marketplace 의 pending/addyosmani/security-and-hardening 폴더를 내 ~/.claude/skills/security-and-hardening/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.