Notre avis

Analyse le codebase à la recherche de vulnérabilités de sécurité et crée un fichier SECURITY_PLAN.md avec les constats priorisés.

Détection automatisée des problèmes de sécurité courants (points de terminaison mutables, validation manquante, lacunes d'autorisation, secrets exposés).
Produit un rapport structuré avec niveaux de gravité et emplacements de fichiers.
S'intègre dans un pipeline multi-phase pour une revue de sécurité complète.

Ne couvre que des motifs spécifiques (les vérifications Supabase peuvent ne pas s'appliquer à tous les projets).
La sortie est un fichier Markdown statique ; pas de surveillance en temps réel.
Nécessite une structure de dossiers particulière (ex. src/app).

Quand l'utiliser

Utilisez-le pour initier une revue de sécurité de votre codebase afin d'identifier et prioriser les vulnérabilités avant leur correction.

Quand l'éviter

Ne l'utilisez pas si vous avez besoin d'une analyse de sécurité en temps réel ou si votre projet ne suit pas une structure d'application web typique.

name: 1-security-audit description: "Phase 1 of security audit pipeline. Scans the codebase for vulnerabilities and creates SECURITY_PLAN.md. Use after /full-security-audit or invoke directly to start a security review. Say 'security audit phase 1' or run '/1-security-audit'." contract: tags: [security, audit, security-phase-1] state_source: security_plan inputs: params: [] gates: [] outputs: mutates: - field: "findings" sets_to: "Pending" side_effects: ["Creates SECURITY_PLAN.md"] next: [2-security-critique] human_gate: false

Phase 1: Security Discovery

Scan the codebase and produce a prioritized findings list. Output lives in SECURITY_PLAN.md.

Scan src/app (or configured API folder) for:
- Mutable endpoints (POST/PUT/DELETE)
- Missing input validation (e.g. Zod schemas)
- Authorization gaps (missing auth checks, overly permissive RLS)
- Exposed secrets or service role keys in client code
- See supabase-security/SKILL.md for Supabase-specific patterns to check
Output: Create or overwrite SECURITY_PLAN.md in the project root. List all findings as Pending with severity (Critical / High / Medium / Low) and file location.
Stop. Display a summary of findings to the user.

The next step is Phase 2: /2-security-critique