@blueking/bkui-knowledge 0.0.1-beta.1

package/knowledge/skills/js-security-check/references/checklist.md

@@ -0,0 +1,144 @@
+# JavaScript 安全检查清单
+
+完整的安全检查规则索引和详细说明。
+
+## 必须级（MUST）- 严重安全漏洞
+
+### DOM XSS 类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **DOM-001** | DOM XSS | innerHTML/outerHTML 使用不可信数据 | 🔴 严重 |
+| **DOM-002** | DOM XSS | document.write 使用用户输入 | 🔴 严重 |
+| **DOM-003** | DOM XSS | insertAdjacentHTML 未消毒 | 🔴 严重 |
+
+**检测模式：**
+```javascript
+// 危险
+element.innerHTML = userInput;
+element.outerHTML = data;
+div.insertAdjacentHTML('beforeend', html);
+document.write(content);
+```
+
+### 属性注入类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **ATTR-001** | 属性注入 | setAttribute 使用不可信属性名 | 🔴 严重 |
+| **ATTR-002** | URL 注入 | href/src 等未校验 URL | 🔴 严重 |
+| **ATTR-003** | 事件注入 | 写入 onclick/onload 等事件属性 | 🔴 严重 |
+
+### URL 安全类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **URL-001** | Open Redirect | location/window.open 使用不可信 URL | 🔴 严重 |
+| **URL-002** | URL Scheme | 允许 javascript:/data: 等危险协议 | 🔴 严重 |
+| **URL-003** | 新窗口安全 | target="_blank" 未使用 noopener | 🟡 中等 |
+
+### 代码执行类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **EXEC-001** | 代码执行 | 使用 eval/new Function | 🔴 严重 |
+| **EXEC-002** | 代码执行 | setTimeout/setInterval 传入字符串 | 🔴 严重 |
+| **EXEC-003** | 动态加载 | import() 路径受用户控制 | 🔴 严重 |
+
+### 原型污染类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **PROTO-001** | 原型污染 | 直接合并不可信对象 | 🔴 严重 |
+| **PROTO-002** | 原型污染 | 未过滤 __proto__/constructor | 🔴 严重 |
+
+### 通信安全类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **MSG-001** | PostMessage | 未验证 origin | 🔴 严重 |
+| **MSG-002** | PostMessage | targetOrigin 使用 "*" | 🟡 中等 |
+| **WS-001** | WebSocket | 使用明文 ws:// 协议 | 🟡 中等 |
+| **WS-002** | WebSocket | URL 中包含长效 token | 🟡 中等 |
+
+### 存储安全类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **STORE-001** | 数据泄露 | localStorage 存储敏感信息 | 🟡 中等 |
+
+### Iframe 安全类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **IFRAME-001** | Iframe 沙箱 | 同时允许 scripts 和 same-origin | 🔴 严重 |
+| **IFRAME-002** | Iframe 注入 | srcdoc 使用不可信 HTML | 🔴 严重 |
+
+### CORS 安全类
+
+| 规则 ID | 类别 | 描述 | 风险等级 |
+|---------|------|------|----------|
+| **CORS-001** | CORS 滥用 | 全局开启 credentials: include | 🟡 中等 |
+| **CORS-002** | CORS 绕过 | 使用 mode: 'no-cors' | 🟡 中等 |
+
+## 框架特定规则
+
+### React 规则
+
+| 规则 ID | 描述 | 风险等级 |
+|---------|------|----------|
+| **REACT-001** | dangerouslySetInnerHTML 使用不可信内容 | 🔴 严重 |
+| **REACT-002** | URL 属性未使用 safeUrl() | 🔴 严重 |
+| **REACT-003** | style 对象注入用户 CSS | 🟡 中等 |
+
+### Vue 规则
+
+| 规则 ID | 描述 | 风险等级 |
+|---------|------|----------|
+| **VUE-001** | v-html 绑定不可信内容 | 🔴 严重 |
+| **VUE-002** | :href/:src 未使用安全函数 | 🔴 严重 |
+| **VUE-003** | v-bind:style 注入用户 CSS | 🟡 中等 |
+
+### Angular 规则
+
+| 规则 ID | 描述 | 风险等级 |
+|---------|------|----------|
+| **NG-001** | bypassSecurityTrustHtml 信任用户输入 | 🔴 严重 |
+| **NG-002** | bypassSecurityTrustUrl 未验证 URL | 🔴 严重 |
+| **NG-003** | [innerHTML] 绑定未消毒内容 | 🔴 严重 |
+
+### jQuery 规则
+
+| 规则 ID | 描述 | 风险等级 |
+|---------|------|----------|
+| **JQ-001** | .html()/.append() 使用用户输入 | 🔴 严重 |
+| **JQ-002** | .attr() 设置 URL 未验证 | 🔴 严重 |
+| **JQ-003** | $.getScript() 使用不可信 URL | 🔴 严重 |
+
+## 建议级（SHOULD）- 最佳实践
+
+| 规则 ID | 类别 | 描述 | 优先级 |
+|---------|------|------|--------|
+| **BEST-001** | DOM 渲染 | 优先使用 textContent 而非 innerHTML | ⚪ 建议 |
+| **BEST-002** | 列表渲染 | 使用 template/DocumentFragment | ⚪ 建议 |
+| **BEST-003** | SVG 安全 | SVG 内容需要消毒 | ⚪ 建议 |
+| **BEST-004** | 样式安全 | 避免 style.cssText 使用用户输入 | ⚪ 建议 |
+| **BEST-005** | 文件预览 | MIME/魔数校验 + URL.revokeObjectURL | ⚪ 建议 |
+| **BEST-006** | ReDoS | 避免灾难性回溯正则表达式 | ⚪ 建议 |
+| **BEST-007** | 密码学 | 使用 crypto.getRandomValues 而非 Math.random | ⚪ 建议 |
+| **BEST-008** | 命令表 | 使用白名单分发而非字符串拼接 | ⚪ 建议 |
+
+## 配置规则
+
+| 规则 ID | 类别 | 描述 | 优先级 |
+|---------|------|------|--------|
+| **CONFIG-001** | CSP | 配置 Content-Security-Policy | ⚪ 建议 |
+| **CONFIG-002** | Trusted Types | 启用 Trusted Types | ⚪ 建议 |
+| **CONFIG-003** | SRI | 外部资源使用 integrity | ⚪ 建议 |
+| **CONFIG-004** | COOP/COEP | 配置来源隔离策略 | ⚪ 建议 |
+
+---
+
+> 更多详细内容请按需加载：
+> - 修复示例：`skill://js-security-check/references/fix-examples.md`
+> - 评分标准：`skill://js-security-check/references/scoring-standard.md`

package/knowledge/skills/js-security-check/references/fix-examples.md

@@ -0,0 +1,289 @@
+# JavaScript 安全问题修复示例
+
+各类安全问题的详细修复代码示例。
+
+## 1. DOM XSS 防护
+
+### DOM-001: innerHTML 使用不可信数据
+
+```javascript
+// ❌ 危险模式
+element.innerHTML = userInput;
+element.outerHTML = data;
+div.insertAdjacentHTML('beforeend', html);
+document.write(content);
+
+// ✅ 方案 1：使用 textContent（推荐）
+element.textContent = userInput;
+
+// ✅ 方案 2：富文本场景使用 DOMPurify
+import DOMPurify from 'dompurify';
+element.innerHTML = DOMPurify.sanitize(userHtml, {
+  ALLOWED_TAGS: ['b', 'i', 'strong', 'em', 'a'],
+  ALLOWED_ATTR: ['href', 'title'],
+  ALLOW_DATA_ATTR: false
+});
+```
+
+## 2. 属性注入防护
+
+### ATTR-001/002: 属性名和 URL 未校验
+
+```javascript
+// ❌ 危险：属性名或 URL 不受控
+el.setAttribute(userKey, userValue);
+el.setAttribute('href', untrustedUrl);
+el.onclick = new Function(code);
+
+// ✅ 白名单属性名 + URL 校验
+const SAFE_ATTRS = new Set(['title', 'aria-label', 'href', 'src', 'alt']);
+const ALLOWED_HOSTS = ['qq.com', 'tencent.com'];
+
+function safeUrl(urlStr) {
+  try {
+    const u = new URL(urlStr, location.origin);
+    const isHttps = u.protocol === 'https:' || u.protocol === 'http:';
+    const isAllowed = ALLOWED_HOSTS.some(h =>
+      u.hostname === h || u.hostname.endsWith('.' + h)
+    );
+    return isHttps && isAllowed ? u.href : null;
+  } catch {
+    return null;
+  }
+}
+
+function safeSetAttr(el, name, value) {
+  if (!SAFE_ATTRS.has(name)) return;
+  if (/^(href|src|action|data)$/i.test(name)) {
+    const safe = safeUrl(value);
+    if (!safe) return;
+    value = safe;
+  }
+  el.setAttribute(name, value);
+}
+```
+
+## 3. URL 跳转防护
+
+### URL-001: Open Redirect
+
+```javascript
+// ❌ 危险：Open Redirect
+location.href = getParam('next');
+window.open(userUrl);
+router.push(params.redirect);
+
+// ✅ URL 白名单校验
+const ALLOWED_HOSTS = ['qq.com', 'tencent.com'];
+
+function safeNavigate(url) {
+  try {
+    const u = new URL(url, location.origin);
+    const isHttps = u.protocol === 'https:';
+    const isAllowed = ALLOWED_HOSTS.some(h =>
+      u.hostname === h || u.hostname.endsWith('.' + h)
+    );
+    if (isHttps && isAllowed) {
+      location.assign(u.href);
+    }
+  } catch {
+    console.error('Invalid URL');
+  }
+}
+```
+
+## 4. 原型污染防护
+
+### PROTO-001: 直接合并不可信对象
+
+```javascript
+// ❌ 危险：直接合并不可信对象
+Object.assign(config, JSON.parse(userJson));
+_.merge(obj, untrustedData);
+
+// ✅ 过滤危险键
+const FORBIDDEN = new Set(['__proto__', 'prototype', 'constructor']);
+
+function safeMerge(target, source) {
+  for (const key of Object.keys(source)) {
+    if (FORBIDDEN.has(key)) continue;
+    const value = source[key];
+    if (value && typeof value === 'object' && !Array.isArray(value)) {
+      if (!target[key] || typeof target[key] !== 'object') {
+        target[key] = {};
+      }
+      safeMerge(target[key], value);
+    } else {
+      target[key] = value;
+    }
+  }
+  return target;
+}
+```
+
+## 5. PostMessage 安全
+
+### MSG-001: 未验证 origin
+
+```javascript
+// ❌ 危险：未验证 origin/source
+window.addEventListener('message', e => {
+  if (e.data === 'ACTION') doSomething();
+});
+
+// ❌ 危险：targetOrigin 使用 *
+otherWindow.postMessage(data, '*');
+
+// ✅ 完整校验
+const ALLOWED_ORIGINS = new Set(['https://sub.qq.com']);
+let expectedSource = iframe.contentWindow;
+
+window.addEventListener('message', (e) => {
+  // 1. 验证 origin
+  if (!ALLOWED_ORIGINS.has(e.origin)) return;
+
+  // 2. 验证 source
+  if (e.source !== expectedSource) return;
+
+  // 3. 验证消息结构
+  if (!e.data || typeof e.data.type !== 'string') return;
+
+  // 4. 白名单类型
+  const ALLOWED_TYPES = ['READY', 'UPDATE'];
+  if (!ALLOWED_TYPES.includes(e.data.type)) return;
+
+  // 通过所有检查后处理
+  handleMessage(e.data);
+});
+
+// ✅ 固定 targetOrigin
+otherWindow.postMessage(data, 'https://sub.qq.com');
+```
+
+## 6. WebSocket 安全
+
+### WS-001/002: 明文协议和 URL 中的 token
+
+```javascript
+// ❌ 危险：明文协议 + URL 中的 token
+const ws = new WebSocket('ws://api.example.com');
+const ws2 = new WebSocket(`wss://api.com?token=${token}`);
+
+// ✅ 加密协议 + 子协议认证
+function createSecureWebSocket(url, token) {
+  const safeWsUrl = safeUrl(url);
+  if (!safeWsUrl || !safeWsUrl.startsWith('wss://')) {
+    throw new Error('Invalid WebSocket URL');
+  }
+
+  // 使用子协议传递 token
+  return new WebSocket(safeWsUrl, ['bearer', token]);
+}
+
+// ✅ 添加速率限制
+class RateLimitedWebSocket {
+  constructor(ws) {
+    this.ws = ws;
+    this.lastSend = 0;
+    this.minInterval = 50;
+  }
+
+  send(data) {
+    const now = Date.now();
+    if (now - this.lastSend < this.minInterval) return;
+    this.lastSend = now;
+    this.ws.send(data);
+  }
+}
+```
+
+## 7. 框架特定修复
+
+### React: dangerouslySetInnerHTML
+
+```jsx
+// ❌ 危险
+<div dangerouslySetInnerHTML={{ __html: userContent }} />
+
+// ✅ 使用 DOMPurify
+import DOMPurify from 'dompurify';
+
+function SafeHtml({ html }) {
+  const clean = DOMPurify.sanitize(html, {
+    ALLOWED_TAGS: ['b', 'i', 'a', 'p'],
+    ALLOWED_ATTR: ['href']
+  });
+  return <div dangerouslySetInnerHTML={{ __html: clean }} />;
+}
+```
+
+### Vue: v-html
+
+```vue
+<!-- ❌ 危险 -->
+<div v-html="userContent"></div>
+
+<!-- ✅ 使用 DOMPurify -->
+<script setup>
+import DOMPurify from 'dompurify';
+import { computed } from 'vue';
+
+const props = defineProps(['content']);
+const safeHtml = computed(() => 
+  DOMPurify.sanitize(props.content, {
+    ALLOWED_TAGS: ['b', 'i', 'a', 'p'],
+    ALLOWED_ATTR: ['href']
+  })
+);
+</script>
+
+<template>
+  <div v-html="safeHtml"></div>
+</template>
+```
+
+### Angular: bypassSecurityTrust
+
+```typescript
+// ❌ 危险
+this.html = this.sanitizer.bypassSecurityTrustHtml(userInput);
+
+// ✅ 先消毒再信任
+import DOMPurify from 'dompurify';
+
+export class SafeComponent {
+  getSafeHtml(dirty: string): SafeHtml {
+    const clean = DOMPurify.sanitize(dirty, {
+      ALLOWED_TAGS: ['b', 'i', 'a', 'p']
+    });
+    return this.sanitizer.bypassSecurityTrustHtml(clean);
+  }
+}
+```
+
+## 8. 可自动修复的问题
+
+### target="_blank" 缺少 rel 属性
+
+```html
+<!-- ❌ 检测 -->
+<a href="..." target="_blank">
+
+<!-- ✅ 修复：添加 rel 属性 -->
+<a href="..." target="_blank" rel="noopener noreferrer">
+```
+
+### innerHTML 改为 textContent（纯文本场景）
+
+```javascript
+// ❌ 检测：\.innerHTML\s*=\s*([^<]*)\s*;
+element.innerHTML = plainText;
+
+// ✅ 修复
+element.textContent = plainText;
+```
+
+---
+
+> 更多内容请按需加载：
+> - 安全工具库：`skill://js-security-check/references/security-toolkit.md`

package/knowledge/skills/js-security-check/references/report-format.md

@@ -0,0 +1,140 @@
+# 安全审查报告格式说明
+
+审查报告采用结构化格式，便于快速理解和处理。
+
+## 报告结构
+
+```
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+JavaScript 安全审查报告
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+项目: {项目名}
+框架: {React/Vue/Angular/jQuery}
+扫描文件: {N} 个 JavaScript 文件
+扫描时间: {时间}
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+问题摘要
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+🔴 严重: N 个问题
+🟡 中等: N 个问题
+⚪ 建议: N 个改进项
+
+📊 安全评分: XX/100
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+严重问题详情
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+🔴 {规则ID}: {问题标题}
+   文件: {文件路径}:{行号}
+   代码: {问题代码}
+
+   风险: {风险说明}
+
+   推荐修复:
+   {修复代码示例}
+
+   参考: JavaScript代码安全规范.md 第 X.X.X 节
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+配置建议
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+1. Content Security Policy (CSP)
+2. Trusted Types
+3. 安全响应头
+4. 依赖安全扫描
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+下一步行动
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+1. 优先修复 N 个严重问题
+2. 安装 DOMPurify
+3. 创建安全工具函数库
+4. 配置 CSP 和 Trusted Types
+5. 在 CI/CD 中集成安全检查
+```
+
+## 结论类型
+
+| 结论 | 安全评分 | 行动 |
+|------|----------|------|
+| `安全` | 90+ | 可以发布 |
+| `需要关注` | 80-89 | 有中等问题需要处理 |
+| `需要修复` | 70-79 | 有严重问题需要修复 |
+| `高风险` | < 70 | 阻止发布 |
+
+## JSON 报告格式
+
+```json
+{
+  "summary": {
+    "project": "my-app",
+    "framework": "React 18.2.0",
+    "filesScanned": 127,
+    "scanTime": "2026-01-19T20:15:32Z",
+    "issues": {
+      "critical": 5,
+      "medium": 12,
+      "low": 8
+    },
+    "score": 75
+  },
+  "issues": [
+    {
+      "id": "1",
+      "ruleId": "DOM-001",
+      "severity": "critical",
+      "category": "DOM XSS",
+      "file": "src/components/UserProfile.js",
+      "line": 42,
+      "column": 10,
+      "code": "element.innerHTML = props.userBio",
+      "message": "innerHTML 使用不可信数据，存在 XSS 风险",
+      "recommendation": "使用 textContent 或 DOMPurify.sanitize()",
+      "fixable": true,
+      "references": ["JavaScript代码安全规范.md:1.1.1"]
+    }
+  ],
+  "config": {
+    "hasCsp": false,
+    "hasTrustedTypes": false,
+    "hasSecurityHeaders": false,
+    "dependencies": {
+      "hasVulnerabilities": true,
+      "vulnerablePackages": ["lodash@4.17.11"]
+    }
+  },
+  "recommendations": [
+    "启用 Content Security Policy",
+    "安装 DOMPurify",
+    "配置 Trusted Types"
+  ]
+}
+```
+
+## 问题详情格式
+
+每个问题包含以下字段：
+
+| 字段 | 说明 |
+|------|------|
+| ruleId | 规则唯一标识（如 DOM-001） |
+| severity | 严重程度（critical/medium/low） |
+| category | 问题类别（DOM XSS/URL 注入等） |
+| file | 文件路径 |
+| line | 行号 |
+| code | 问题代码片段 |
+| message | 问题描述 |
+| recommendation | 修复建议 |
+| fixable | 是否可自动修复 |
+| references | 参考文档 |
+
+---
+
+> 报告示例请按需加载：
+> - 评分标准：`skill://js-security-check/references/scoring-standard.md`

package/knowledge/skills/js-security-check/references/scoring-standard.md

@@ -0,0 +1,67 @@
+# JavaScript 安全评分标准
+
+审查时可参考此评分标准对代码安全性进行量化评估。
+
+## 基本要求（80分）
+
+### XSS 防护（30分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| 无 innerHTML/v-html 风险 | 10 | 不使用或已消毒 |
+| 无 document.write | 5 | 禁止使用 |
+| 无 eval/new Function | 8 | 禁止动态代码执行 |
+| URL 属性已校验 | 7 | href/src 等使用安全函数 |
+
+### 输入验证（20分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| URL 白名单校验 | 8 | 协议和域名校验 |
+| 用户输入转义 | 7 | 输出前转义处理 |
+| 无原型污染风险 | 5 | 对象合并安全 |
+
+### 通信安全（15分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| PostMessage origin 校验 | 6 | 验证消息来源 |
+| WebSocket 安全 | 5 | 使用 wss:// + 鉴权 |
+| CORS 配置合理 | 4 | 不滥用 credentials |
+
+### 存储安全（15分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| 无敏感信息存储 | 8 | localStorage 不存密码/token |
+| Cookie 安全属性 | 4 | HttpOnly/Secure/SameSite |
+| 无硬编码密钥 | 3 | 代码中无密钥 |
+
+## 加分项（每项最高10分）
+
+- **CSP 配置**：配置 Content-Security-Policy
+- **Trusted Types**：启用 Trusted Types
+- **SRI 校验**：外部资源使用 integrity 属性
+- **安全响应头**：X-Frame-Options、COOP/COEP
+- **依赖扫描**：定期运行 npm audit
+
+## 评分等级
+
+| 分数区间 | 等级 | 结论 |
+|---------|------|------|
+| 90+ | 安全 | 可以发布 |
+| 80-89 | 需要关注 | 有中等问题 |
+| 70-79 | 需要修复 | 有严重问题 |
+| < 70 | 高风险 | 阻止发布 |
+
+## 一票否决项
+
+以下问题无论评分多高，都需要修复后才能发布：
+
+| 问题 | 规则 ID | 说明 |
+|------|---------|------|
+| 明确的 XSS 漏洞 | DOM-001 | innerHTML 直接使用用户输入 |
+| 代码执行漏洞 | EXEC-001 | eval 执行用户输入 |
+| Open Redirect | URL-001 | 未校验的 URL 跳转 |
+| PostMessage 未校验 | MSG-001 | 完全没有 origin 验证 |
+| 硬编码敏感信息 | STORE-001 | 代码中包含密钥/凭证 |