Security-набросок

Цель: Получить структурированный чек-лист или идеи для проверки безопасности функции (авторизация, ввод пользователя, чувствительные данные). Не заменяет пентесты и инструменты — используйте как дополнение к OWASP и внутренним чек-листам.

⏱ Время: 15–20 минут на описание функции и прогон + 10 минут на отбор проверок и сверку с OWASP.

Чек-лист безопасности для функции

RTCCO

7.12 — идеи для security-проверок

securityбезопасностьOWASP

Ты — QA-инженер с фокусом на security-тестировании.

Задача: Составь чек-лист проверок безопасности для функции [Название/краткое описание].

Контекст:
- Тип функции: [веб-форма / API / авторизация / загрузка файлов / и т.д.]
- Роли доступа: [кто может вызывать]
- Чувствительные данные: [если есть — пароли, PII, платёжные данные]

Включи пункты по категориям (адаптируй под контекст):
- Авторизация и права доступа (доступ без токена, чужие ресурсы, эскалация привилегий).
- Ввод пользователя (XSS, SQLi, инъекции в команды/шаблоны, длина/тип).
- Конфиденциальность (утечка данных в ответах, логи, ошибках).
- Сессии и токены (истечение, выход, повторное использование).

Формат: нумерованный список с кратким описанием проверки и примером (если применимо). Если для какой-то категории контекст не подходит — напиши "Не применимо: [почему]".

Частые ошибки применения шаблона

Чек-лист «для всех приложений» без привязки к типу функции.
Пункты OWASP названы, но без конкретного шага проверки для вашего API/UI.
Результат принят без ревью security-специалиста на чувствительных фичах.

Не передавай в LLM реальные пароли, токены и внутренние схемы — только описание типов данных и ролей.