Claude Code 라이믹스 보안 점검 스킬 — "보안 점검해줘" (security-audit)

스킬 파일 제공

구매하시면 SKILL.md(라이믹스 보안 점검표와 검사 명령)와 설치 안내 README 가 담긴 압축 파일을 받으실 수 있습니다. 라이믹스 폴더의 .claude/skills/ 에 폴더째 두면 자동으로 인식됩니다.

security-audit.zip 다운로드

Claude Code 라이믹스 보안 점검 스킬 —

라이믹스 스킨과 모듈을 AI 와 빠르게 만들다 보면 보안 점검은 늘 뒤로 밀립니다. 막상 "보안 점검해줘"라고 하면 일반론만 길게 돌아옵니다. 라이믹스 템플릿에서 무엇이 escape 되고 무엇이 안 되는지, CSRF 토큰은 어디서 오는지 같은 라이믹스에서만 통하는 기준이 없기 때문입니다.

왜 필요한가

이 스킬은 Claude Code 가 보안 검토를 시작할 때 라이믹스 기준의 점검표와 검사 명령을 먼저 읽게 합니다. 읽기·검색 도구(Read, Grep, Glob)만 쓰도록 제한되어 있어, 점검하는 동안 코드를 고치지 않습니다.

무엇을 담았나

XSS — {!! !!}·|noescape 검색, 템플릿 v1 과 v2 의 escape 차이
CSRF — 폼의 @csrf, 자바스크립트의 Rhymix.getCSRFToken(), fetch 로 보낼 때의 헤더
SQL 인젝션 — 문자열로 이어 붙인 쿼리 대신 executeQuery 와 인자 객체
파일 업로드·권한 — 확장자·MIME·크기·경로, 템플릿과 모듈의 권한 검사
grep 검사 명령 모음 — escape 누락, 직접 쿼리, eval, 셸 실행 함수
proc* 응답 형식·보안 헤더·민감 정보 노출 점검 항목

코어 코드로 확인한 기준

항목	기준
템플릿 v2 `{{ $var }}`	모든 출력이 자동 escape
템플릿 v1 `{$var}`	기본은 escape 되지 않습니다. 파일 맨 위 `<config autoescape="on" />` 나 `\|escape` 필터가 없으면 취약으로 분류
CSRF 토큰	코어가 `<meta name="csrf-token">` 을 넣고, jQuery.ajax·exec_json 에는 `X-CSRF-Token` 헤더를 자동으로 붙임
proc* 액션을 fetch 로	`Accept: application/json` 이 없으면 HTML 로 답해 `response.json()` 이 실패

예시 — 검사 명령

구매 후 전체 프롬프트 확인 가능

유료 프롬프트의 전문과 복사용 프롬프트는 구매자에게만 제공됩니다. 공개 본문에서는 구성, 활용 범위, 업데이트 내역만 확인할 수 있습니다.

구성

파일	역할
`security-audit/SKILL.md`	XSS·CSRF·SQL 인젝션·업로드·권한 점검 항목, grep 검사 명령, proc* 응답 형식, 보안 헤더, 민감 정보 노출
`security-audit/README.md`	설치 안내

설치

unzip security-audit.zip
# 라이믹스 프로젝트에서만 쓰려면(권장) — 라이믹스 설치 폴더에서
mkdir -p .claude/skills && cp -r security-audit .claude/skills/
# 모든 프로젝트에서 쓰려면
mkdir -p ~/.claude/skills && cp -r security-audit ~/.claude/skills/

따로 부를 필요는 없습니다. 작업 요청에 보안, 취약점, XSS, CSRF, SQL injection 같은 말이 나오면 Claude Code 가 스킬을 읽습니다.

요구 사항

Claude Code
Rhymix(라이믹스) — escape·CSRF·응답 형식 기준은 라이믹스 매뉴얼과 작성자 환경 2.1.34 코어 코드로 확인했습니다
검사 명령은 grep 을 씁니다(Linux·macOS)
점검표이지 자동 스캐너가 아닙니다. 결과 판단과 수정은 따로 합니다

이런 분께

라이믹스 스킨·레이아웃·모듈을 직접 만들어 운영하는 분
AI 로 만든 스킨을 공개 전에 한 번 훑어보고 싶은 분
템플릿 v1 과 v2 가 섞인 사이트에서 escape 누락을 찾고 싶은 분