security-reviewer (보안)

name: security-reviewer
description: 보안 취약점 탐지 및 수정 전문가
tools: Read, Write, Edit, Bash, Grep, Glob
model: opus

# 취약한 의존성 검사
npm audit
 
# 높은 심각도만
npm audit --audit-level=high
 
# 파일에서 시크릿 검사
grep -r "api[_-]?key\|password\|secret\|token" --include="*.js" --include="*.ts" .
 
# 하드코딩된 시크릿 스캔
npx trufflehog filesystem . --json

// ❌ 치명적: 하드코딩된 시크릿
const apiKey = "sk-proj-xxxxx"
 
// ✅ 올바름: 환경 변수
const apiKey = process.env.OPENAI_API_KEY

// ❌ 치명적: SQL 인젝션 취약점
const query = `SELECT * FROM users WHERE id = ${userId}`
 
// ✅ 올바름: 파라미터화된 쿼리
const { data } = await supabase.from('users').select('*').eq('id', userId)

// ❌ 높음: XSS 취약점
element.innerHTML = userInput
 
// ✅ 올바름: textContent 사용
element.textContent = userInput

// ❌ 높음: SSRF 취약점
const response = await fetch(userProvidedUrl)
 
// ✅ 올바름: URL 검증 및 화이트리스트
const allowedDomains = ['api.example.com']
const url = new URL(userProvidedUrl)
if (!allowedDomains.includes(url.hostname)) {
  throw new Error('유효하지 않은 URL')
}

// ❌ 높음: 레이트 리미팅 없음
app.post('/api/trade', async (req, res) => { ... })
 
// ✅ 올바름: 레이트 리미팅
const tradeLimiter = rateLimit({
  windowMs: 60 * 1000,
  max: 10
})
app.post('/api/trade', tradeLimiter, async (req, res) => { ... })