Coding and Debugging

Path Traversal in a Download Endpoint — Chinese original prompt

下载接口接收文件名参数 [参数名]，代码里直接与上传目录做字符串拼接。请说明攻击者用 ../、绝对路径、URL 编码、以…

Filenames That Reach the Shell — Chinese original prompt

这段 [语言] 代码调用 [命令行工具] 处理用户上传的文件，文件名来自上传时的原始名称。请指出在 [操作系统] 下哪些…

Disable External Entities First — Chinese original prompt

我们要接收 [合作方] 发来的 XML 报文。请针对 [语言与库名] 的解析器，给出关闭 DTD 与外部实体的具体配置，…

Open Redirect After Login — Chinese original prompt

登录成功后会跳回参数 [参数名] 指定的地址。请列出可被利用的写法（绝对 URL、双斜杠开头、带 @ 的 URL、编码绕…

Inventory Deserialization Entries — Chinese original prompt

请在我们 [语言] 项目里清点所有反序列化入口（缓存读取、消息队列消费、Cookie 与 Session、RPC 参数）…

Error Pages Leaking Internals — Chinese original prompt

生产环境的出错页面会把堆栈和 [框架] 版本一起返回给前端。请给出分层处理方案：对外只返回错误码与 [追踪 ID]、完整…

Stop Binding Bodies to Entities — Chinese original prompt

更新用户资料的接口把请求 JSON 直接反序列化成 [实体类] 再保存。请列出攻击者能多传哪些字段（角色、状态、余额、创…

Trim Fields in Responses — Chinese original prompt

这个 [接口名] 直接返回了数据库实体的全部字段。请列出其中不该对外暴露的部分（内部主键、成本价、审核备注、内部状态码、…

Never Trust the Client-Side Price — Chinese original prompt

下单接口目前直接采信前端算好的 [金额字段]、折扣码与运费。请重写校验逻辑：价格从 [商品或服务] 表实时取、折扣在服务…

Cap Array Size and Nesting — Chinese original prompt

这个接口接收结构不固定的 JSON（[字段名] 是数组，元素里还可以再嵌套）。请给出限额方案：单请求体积、数组最大长度、…

CSV Formula Injection on Export — Chinese original prompt

导出功能会把用户填写的 [字段，如昵称、备注] 原样写进 CSV。请说明以等号、加号、减号、@ 开头的值在 Excel…

Turn Validation into a Contract — Chinese original prompt

这个 [接口名] 现在靠手写 if 判断校验请求体。请改成 JSON Schema 表达：必填项、类型、枚举、字符串长度…

Handling Invalid Enum Values — Chinese original prompt

接口里 [字段名] 只允许 [取值列表] 这几种。请说明当前代码用 if-else 兜底到默认值会产生什么脏数据，再给出…

Filenames in Response Headers — Chinese original prompt

下载接口把原始文件名写进响应头的 filename 字段。请说明文件名里出现 [字符示例] 时会发生什么（响应头注入、缓…

Six Checks Before Trusting a JWT — Chinese original prompt

服务端用 JWT 做 [场景] 的鉴权。请给出一份校验清单并标出当前代码缺哪几项：算法固定为 [算法] 且不接受 non…

Rotate the Session ID at Login — Chinese original prompt

登录流程在验证通过后没有重新生成会话标识。请说明攻击者如何先在 [场景，如钓鱼页、子域] 拿到一个已存在的会话 ID 并…

Designing Password Reset Links — Chinese original prompt

密码重置邮件里的链接现在带 [参数形式]。请重新设计：令牌用密码学随机数、服务端只存哈希、有效期 [时长]、一次性使用、…

Rate Limiting SMS Codes — Chinese original prompt

登录用六位短信验证码，现在只在前端做了 60 秒倒计时。请给出服务端防护设计：同一手机号与同一 IP 在 [时间窗] 内…

Validate the OAuth Callback — Chinese original prompt

我们接入 [平台] 登录，回调里用 code 换令牌。请逐项检查：state 是否随机生成并与当前会话绑定、回调地址是否…

Verifying Webhook Signatures — Chinese original prompt

我们接收 [第三方] 的异步回调（支付结果、[事件类型]）。请给出校验设计：签名算法与密钥、参与签名的字段与排序规则、时…

Backup Paths Around MFA — Chinese original prompt

我们给 [后台或支付] 开了二次验证（[方式]）。请盘一遍所有能绕过它的路径：备用邮箱找回、客服人工解绑、换设备登录、[…

Narrowing Service-to-Service Scopes — Chinese original prompt

现在 [服务 A] 调 [服务 B] 时用的是同一个长期有效的内部令牌，权限覆盖全部接口。请设计按调用方收敛的方案：每个…

The Missing Tenant Filter — Chinese original prompt

多租户系统靠 [隔离字段] 在每条查询里过滤。请设计一套能"从机制上防漏"的做法：公共查询构造器强制注入该条件、代码审查…

Untangling Role Explosion — Chinese original prompt

现在后台有 [数量] 个角色，权限靠角色名硬编码判断。请把权限重构成"权限点加角色组合"：先从 [现有代码或菜单] 抽出…

Audit Trails for High-Risk Actions — Chinese original prompt

运营后台有几个高危操作可以直接执行：[操作列表]。请设计执行前后的控制：二次验证、[审批方式]、操作原因必填、影响范围预…

Revoking Access on Exit — Chinese original prompt

请给我们设计一套账号回收流程，覆盖 [员工、外包、实习生] 三类人员。要写清：触发时点（提交离职当天还是最后工作日）、需…

Trim Fields on Export Endpoints — Chinese original prompt

报表页支持按筛选条件导出 [数据范围]。请重新设计导出：按角色限定可导出字段（手机号、证件号、地址默认脱敏）、单次行数上…

Share Links: Scope and Expiry — Chinese original prompt

我们支持把 [文档或报表] 生成分享链接给外部看。请设计：链接只读且绑定具体资源、有效期 [时长]、可随时撤销、默认不暴…

Keep a Key Inventory — Chinese original prompt

项目里涉及 [密钥类型列表] 等多类凭据。请设计一份密钥台账的字段：用途、所属系统、存放位置、负责人、创建时间、轮换周期…

Rotate Keys Without Downtime — Chinese original prompt

我们准备轮换 [密钥用途] 的密钥，涉及 [调用方数量] 个服务。请给出双密钥过渡方案：新旧并存、按标识选择、逐步切流、…

Querying Encrypted Columns — Chinese original prompt

我们计划把 [字段名] 加密存库。请先说明加密后哪些查询会失效（等值、前缀、模糊、排序、唯一约束），再给出可选方案：确定…

Review Your Password Hashing — Chinese original prompt

我们的用户密码用 [当前算法与参数] 存储。请评估是否达标，给出应换成 [目标算法] 时的参数建议（内存、迭代、并行度）…

Secrets Shipped in Client Bundles — Chinese original prompt

打包后的 [前端或 App] 里写死了第三方服务的 [密钥类型] 用于直连。请说明它怎么被拿到（源码、抓包、反编译 [平…

Plaintext Secrets in Config Centers — Chinese original prompt

所有服务的配置都堆在 [配置中心或集群配置]，里面混着数据库口令和 [第三方] 的密钥。请给出分层方案：哪些配置可以明文…

Triaging CVEs by Reachability — Chinese original prompt

依赖扫描给出 [数量] 条漏洞，全部升级并不现实。请按可达性分诊：漏洞函数是否被我们调用、输入是否可控、是否只在 [特定…

Pinning Transitive Dependencies — Chinese original prompt

扫描报告说 [包名] 有漏洞，但我们没有直接依赖它。请说明怎么找出完整引入链（哪个顶层包、经过几层、[包管理器] 的解析…

Vet a Package Before Adding — Chinese original prompt

同事要引入 [包名] 来实现 [功能]。请给出引入前的审查清单：包名与官方是否一致（[混淆写法] 这类近似名要警惕）、维…

Triage Container Image Scans — Chinese original prompt

镜像扫描报告有 [数量] 条高危，多数来自基础镜像的系统包。请按这几点分诊：容器里是否有对应服务在监听、包是否真的被加载…

Handing Customers an SBOM — Chinese original prompt

客户要求我们交付 [产品名] 的软件物料清单。请说明该用 [标准格式] 、在构建流水线的哪一步生成、包含哪些字段（组件名…

When No Patched Version Exists — Chinese original prompt

[组件名] 的漏洞目前上游没有修复版本，而我们必须继续用。请给出缓解清单并排序：关闭受影响的功能开关、在 [网关或防护设…

Scrubbing Payloads in Error Reports — Chinese original prompt

我们接了 [错误上报工具]。请设计脱敏配置：请求头里删除 [头列表]、请求体按字段名匹配（password、token、…

Query Strings in Access Logs — Chinese original prompt

网关的访问日志记录了完整 URL。请指出现实中会漏进日志的敏感项（搜索关键词、[手机号] 这类查询参数、重置链接里的令牌…

Keeping Records Linkable — Chinese original prompt

日志脱敏后，排查问题时需要按用户把多天的行为串起来，但手机号不能明文存。请给出方案：用 [哈希算法] 加固定盐生成稳定标…

Access Control on Log Platform — Chinese original prompt

日志平台目前所有研发都能搜索全量日志。请设计权限模型：按 [服务或业务线] 划分可见范围、敏感字段的查看需要额外申请、查…

How Long Should Logs Be Kept — Chinese original prompt

应用日志、访问日志、审计日志现在统一保留 [时长]。请按用途重新定保留期：排障用的短、安全审计用的长且不可改、业务分析的…

Start with a Personal Data Inventory — Chinese original prompt

我们准备做 [合规动作，如隐私评估、等保测评]，需要先盘清个人信息。请给出清单的字段设计：字段名、所属系统与表、来源（用…

Policy vs Actual Collection — Chinese original prompt

请把我们的隐私政策文本与 App 实际行为做逐项比对：政策声明的采集项与 [抓包结果或 SDK 清单] 里实际出现的字段…

A Reason for Every Permission — Chinese original prompt

这个 App 申请了 [权限列表]。请为每个权限写清：具体功能场景、不授权时的降级方案、是否可以改成用时再申请、有没有更…

Production Data in Test Envs — Chinese original prompt

团队想导一份生产数据到 [测试环境] 联调。请给出合规做法：先做字段最小化（只保留联调必需的表与列）、按规则替换姓名、手…

Data Classification and Access — Chinese original prompt

要给 [业务系统] 做数据分级。请给出分级标准（公开、内部、敏感、高敏）与判断依据，把 [字段清单] 逐项归类，再为每一…

Triage the Pentest Report — Chinese original prompt

我们拿到一份 [页数] 页的渗透测试报告。请把发现分成四类：可直接利用的高危、需要前置条件的、配置加固建议、误报或环境特…

Business Logic Flaws in Reports — Chinese original prompt

报告里有一条业务逻辑问题：[漏洞描述，如修改请求里的价格参数]。请帮我还原完整利用路径：需要什么账号、按什么顺序发请求、…

Proving a Fix Actually Holds — Chinese original prompt

这条漏洞修完后，需要给 [甲方或安全团队] 提交复测材料。请列出证据清单：修复前后的请求与响应对比、关键的 [校验逻辑]…

Arguing Severity With Evidence — Chinese original prompt

安全团队把这条问题定为 [等级]，我们评估影响有限。请把分歧写成技术论证：实际暴露面（是否公网可达）、前置条件（需要什么…

Explaining a Flaw to Leadership — Chinese original prompt

需要向 [管理层] 汇报这条安全问题。请用非技术语言写一页说明：问题是什么（一句比喻）、影响谁、被利用的可能与前置条件、…

Evidence Pack for Compliance Audits — Chinese original prompt

我们即将做 [等保或 ISO 27001] 测评，涉及 [系统范围]。请按测评项给出材料清单：制度文件与签发记录、权限与…

Security Review Before Building — Chinese original prompt

我们要做 [功能名]，涉及 [数据与角色]。请在动手前做一次轻量威胁建模：画出数据流向（谁提供、经过哪些系统、存在哪）、…