Bảo mật & Gia cố mã nguồn

Làm được gì

• Mô hình hóa nguy cơ trước tiên: xác định ranh giới tin cậy (HTTP request, upload file, webhook, output của LLM), soi nhanh bằng bảng STRIDE và viết "abuse case" thành test đầu tiên.
• Hệ thống 3 tầng quy tắc: việc luôn phải làm (validate input, truy vấn tham số hóa, hash mật khẩu, security headers), việc cần người phê duyệt (đổi logic auth, sửa CORS, thêm upload) và việc tuyệt đối không làm (commit secret, log dữ liệu mật, dùng eval/innerHTML).
• Mẫu phòng chống OWASP Top 10: injection, xác thực yếu, XSS, kiểm soát truy cập, sai cấu hình, lộ dữ liệu, SSRF — kèm ví dụ TypeScript.
• Phụ thuộc & chuỗi cung ứng: cây quyết định phân loại kết quả audit theo mức độ và khả năng thực sự bị khai thác, chặn script cài đặt, kiểm tra signature/provenance, cảnh báo typosquat.
• Bảo mật AI/LLM & quyền riêng tư: coi output mô hình là dữ liệu không tin cậy, chống prompt injection, giới hạn token/đệ quy, phân loại dữ liệu cá nhân, thời hạn lưu trữ và đường xóa dữ liệu cho GDPR/CCPA.
• Checklist review: danh sách kiểm tra theo nhóm xác thực/phân quyền/input/dữ liệu/hạ tầng/chuỗi cung ứng/LLM và danh sách "red flags".

Phù hợp với ai

• Lập trình viên web (đặc biệt Node/TypeScript, Express, Next.js) cần tự review bảo mật
• Nhóm đang làm tính năng đăng nhập, session, thanh toán hoặc xử lý PII
• Người cần tiêu chí quyết định khi báo cáo lỗ hổng phụ thuộc xuất hiện trước lúc release
• Người tích hợp chatbot/RAG và muốn kiểm soát bề mặt tấn công mới từ LLM

Ví dụ sử dụng

1. "Audit luồng đăng nhập vừa viết theo OWASP Top 10" → kiểm tra thuộc tính cookie, rate limit, số vòng hash, thông báo lỗi có lộ nội bộ hay không.
2. "pnpm audit báo 3 lỗi high, có nên chặn release?" → dùng cây quyết định: code lỗ hổng có được gọi không, chỉ dev hay runtime, đã có bản fix chưa; nếu hoãn thì ghi lý do và ngày review.
3. "Tính năng tải ảnh từ URL người dùng nhập" → gợi ý allowlist scheme/host, chặn IP nội bộ, redirect: 'error' và cảnh báo khe hở TOCTOU do DNS rebinding.

Hãy đọc hướng dẫn trong tệp này và làm theo để giúp mình:
https://raw.githubusercontent.com/aiskillstore/marketplace/HEAD/pending/addyosmani/security-and-hardening/SKILL.md

Mình muốn: (viết việc bạn cần ở đây)

Hãy cài skill mình tìm thấy trên Claude Skill Mart.
Copy thư mục pending/addyosmani/security-and-hardening từ repo GitHub aiskillstore/marketplace vào ~/.claude/skills/security-and-hardening/ của mình.
Sau khi cài xong, cho mình biết skill này làm được gì trong một câu.