@blueking/bkui-knowledge 0.0.1-beta.14 → 0.0.1-beta.15

package/knowledge/skills/bk-monitor-security-audit/references/security-checklist.md

@@ -0,0 +1,667 @@
+# JavaScript 前端安全检查清单
+
+本文档提供详细的安全检查规则，用于代码审计时的参考。
+
+## 一、DOM 操作安全 (XSS 防护)
+
+### 1.1 HTML 写入检查
+
+#### 高危 API 列表
+| API | 风险等级 | 说明 |
+|-----|----------|------|
+| `innerHTML` | 🔴 高危 | 直接解析 HTML，可执行脚本 |
+| `outerHTML` | 🔴 高危 | 同 innerHTML |
+| `insertAdjacentHTML` | 🔴 高危 | 插入 HTML 片段 |
+| `document.write()` | 🔴 高危 | 写入文档流 |
+| `document.writeln()` | 🔴 高危 | 同上 |
+| `Range.createContextualFragment` | 🔴 高危 | 创建 HTML 片段 |
+| `element.srcdoc` | 🔴 高危 | iframe 内联 HTML |
+| `SVG innerHTML` | 🔴 高危 | SVG 可执行脚本 |
+
+#### 检测模式
+```javascript
+// 危险模式：用户输入 → HTML
+element.innerHTML = userInput;
+element.innerHTML = `<div>${userInput}</div>`;
+element.outerHTML = template + userInput;
+document.write(userContent);
+el.insertAdjacentHTML('beforeend', userHtml);
+
+// 安全模式：使用 textContent
+element.textContent = userInput;
+
+// 安全模式：消毒后写入
+import DOMPurify from 'dompurify';
+element.innerHTML = DOMPurify.sanitize(userHtml, {
+  ALLOWED_TAGS: ['b', 'i', 'strong', 'em', 'a', 'ul', 'li'],
+  ALLOWED_ATTR: ['href', 'title', 'target'],
+  ALLOW_DATA_ATTR: false
+});
+```
+
+### 1.2 属性写入检查
+
+#### 安全属性白名单
+```javascript
+const SAFE_ATTRS = new Set([
+  'title', 'aria-label', 'href', 'src', 'alt', 
+  'id', 'class', 'name', 'placeholder', 'value',
+  'disabled', 'readonly', 'checked', 'selected'
+]);
+```
+
+#### 禁止写入的属性
+- 所有事件属性：`onclick`, `onload`, `onerror`, `onmouseover`, `onfocus` 等
+- `style`（如需动态样式，仅允许数值/枚举）
+- 用户提供的属性名
+
+#### 检测模式
+```javascript
+// 危险：属性名来自用户
+el.setAttribute(userKey, userValue);
+
+// 危险：写入事件属性
+btn.setAttribute('onclick', handler);
+img.onerror = new Function(userCode);
+
+// 危险：未校验 URL
+el.setAttribute('href', userUrl);
+
+// 安全：白名单校验
+function safeSetAttr(el, name, value) {
+  if (!SAFE_ATTRS.has(name)) return;
+  if (/^on/i.test(name)) return; // 拒绝事件属性
+  if (['href', 'src', 'action'].includes(name) && !isSafeUrl(value)) return;
+  el.setAttribute(name, value);
+}
+```
+
+### 1.3 样式注入检查
+
+```javascript
+// 危险：用户控制整个 CSS
+box.style.cssText = userCss;
+
+// 安全：仅允许特定属性和数值
+const size = Number(userSize);
+if (Number.isFinite(size) && size >= 0 && size <= 200) {
+  box.style.width = `${size}px`;
+}
+
+const color = userColor;
+if (/^#[0-9a-f]{6}$/i.test(color)) {
+  box.style.color = color;
+}
+```
+
+### 1.4 SVG/MathML 安全
+
+```javascript
+// 危险：直接注入 SVG
+svg.innerHTML = userSvg;
+
+// 安全：消毒 SVG
+svg.innerHTML = DOMPurify.sanitize(userSvg, {
+  USE_PROFILES: { svg: true, svgFilters: true },
+  FORBID_TAGS: ['foreignObject', 'script'],
+  FORBID_ATTR: ['onload', 'onclick', 'onerror']
+});
+```
+
+---
+
+## 二、URL/链接安全 (开放重定向防护)
+
+### 2.1 URL 校验函数
+
+```javascript
+const ALLOWED_PROTOCOLS = new Set(['https:', 'http:']);
+const ALLOWED_HOSTS = ['qq.com', 'tencent.com']; // 配置白名单
+
+function isAllowedHost(hostname) {
+  return ALLOWED_HOSTS.some(h => hostname === h || hostname.endsWith('.' + h));
+}
+
+function safeUrl(input, base = location.origin) {
+  try {
+    const u = new URL(String(input), base);
+    // 检查协议
+    if (!ALLOWED_PROTOCOLS.has(u.protocol)) return null;
+    // 检查域名
+    if (!isAllowedHost(u.hostname)) return null;
+    // 阻断用户信息段
+    if (u.username || u.password) return null;
+    return u.href;
+  } catch {
+    return null;
+  }
+}
+```
+
+### 2.2 危险 Scheme
+
+| Scheme | 风险 |
+|--------|------|
+| `javascript:` | 执行 JS 代码 |
+| `data:` | 可能包含可执行内容 |
+| `file:` | 访问本地文件 |
+| `vbscript:` | 执行 VBScript |
+| `about:` | 浏览器内部页面 |
+
+### 2.3 跳转检查
+
+```javascript
+// 危险模式
+location.href = getParam('next');
+location.assign(userUrl);
+location.replace(redirectUrl);
+window.open(userUrl);
+window.location = target;
+
+// 安全模式
+const next = safeUrl(getParam('next'));
+if (next) location.assign(next);
+```
+
+### 2.4 新窗口安全
+
+```javascript
+// 危险：可能被 tabnabbing 攻击
+<a href="/x" target="_blank">Open</a>
+
+// 安全：添加 noopener noreferrer
+<a href="/x" target="_blank" rel="noopener noreferrer">Open</a>
+
+// JS 打开
+window.open(url, '_blank', 'noopener');
+```
+
+### 2.5 URL 参数安全
+
+```javascript
+// 危险：字符串拼接
+location.href = '/user/' + userId + '?tab=' + tab;
+
+// 安全：使用 URL API
+const u = new URL('/user/', location.origin);
+u.pathname += encodeURIComponent(userId);
+u.searchParams.set('tab', tab);
+location.assign(u.toString());
+```
+
+---
+
+## 三、跨域通信安全
+
+### 3.1 postMessage 接收
+
+```javascript
+const ALLOWED_ORIGINS = new Set([
+  'https://sub.qq.com',
+  'https://sdk.tencent.com'
+]);
+
+// 消息类型验证
+function isValidMessage(data) {
+  return data && 
+    typeof data === 'object' &&
+    ['READY', 'LOGIN_OK', 'DATA'].includes(data.type);
+}
+
+window.addEventListener('message', (e) => {
+  // 1. 校验来源
+  if (!ALLOWED_ORIGINS.has(e.origin)) return;
+  
+  // 2. 校验窗口
+  if (e.source !== expectedWindow) return;
+  
+  // 3. 校验数据结构
+  if (!isValidMessage(e.data)) return;
+  
+  // 4. 处理消息
+  handleMessage(e.data);
+});
+```
+
+### 3.2 postMessage 发送
+
+```javascript
+// 危险：使用 '*' 允许任意接收方
+otherWindow.postMessage({ type: 'PING' }, '*');
+
+// 安全：指定目标 origin
+otherWindow.postMessage({ type: 'PING' }, 'https://sub.qq.com');
+```
+
+### 3.3 Fetch/CORS 安全
+
+```javascript
+// 危险：全局开启 credentials
+axios.defaults.withCredentials = true;
+
+// 安全：仅特定接口开启，配合 CSRF Token
+fetch(api, {
+  method: 'POST',
+  credentials: 'include',
+  headers: { 'X-CSRF-Token': getCsrfToken() },
+  body: JSON.stringify(payload)
+});
+
+// 危险：使用 no-cors 掩盖问题
+await fetch(url, { mode: 'no-cors' });
+
+// 安全：配置正确的 CORS 或使用 BFF
+await fetch('/bff/api', { mode: 'cors' });
+```
+
+---
+
+## 四、动态代码执行
+
+### 4.1 禁止的模式
+
+| 模式 | 示例 | 替代方案 |
+|------|------|----------|
+| eval | `eval(userCode)` | 使用 JSON.parse 或白名单映射 |
+| Function 构造 | `new Function(userCode)` | 预定义函数 |
+| 定时器字符串 | `setTimeout('code', 0)` | `setTimeout(fn, 0)` |
+| 动态 import | `import(userPath)` | 白名单映射 import |
+
+### 4.2 安全替代方案
+
+```javascript
+// 危险：动态执行
+eval(params.action);
+
+// 安全：命令表映射
+const ACTIONS = new Map([
+  ['home', showHome],
+  ['about', showAbout],
+  ['profile', showProfile]
+]);
+
+const action = ACTIONS.get(params.action);
+if (action) action();
+
+// 危险：动态 import
+const mod = await import(`/modules/${userChoice}.js`);
+
+// 安全：白名单 import
+const MODULES = new Map([
+  ['chart', () => import('./chart.js')],
+  ['map', () => import('./map.js')]
+]);
+
+const loader = MODULES.get(key);
+if (loader) await loader();
+```
+
+---
+
+## 五、敏感信息处理
+
+### 5.1 禁止存储的信息
+
+- Access Token / Refresh Token
+- 用户密码（明文或加密）
+- 身份证号码
+- 银行卡号
+- 手机号码
+- 邮箱地址（视情况）
+- Session ID / Cookie 值
+
+### 5.2 存储位置检查
+
+```javascript
+// 禁止
+localStorage.setItem('token', accessToken);
+sessionStorage.setItem('password', pwd);
+// IndexedDB 存储敏感信息
+
+// 替代方案
+// Token：使用 HttpOnly Cookie
+// 临时数据：内存变量
+// 必须持久化：后端存储
+```
+
+### 5.3 错误处理
+
+```javascript
+// 危险：暴露内部信息
+try { risky(); } catch (e) {
+  toast(e.stack);
+  document.body.innerHTML = e.message;
+  console.log('API Key:', apiKey);
+}
+
+// 安全：友好提示
+try { risky(); } catch (e) {
+  toast('操作失败，请稍后重试');
+  // 仅向可信域上报详情
+  reportToInternal({ 
+    error: sanitizeError(e),
+    context: getContext()
+  });
+}
+```
+
+### 5.4 日志脱敏
+
+```javascript
+// 需要脱敏的字段
+const SENSITIVE_KEYS = [
+  'token', 'auth', 'password', 'pwd', 
+  'secret', 'key', 'session', 'sig',
+  'phone', 'mobile', 'email', 'idcard'
+];
+
+function sanitizeForLog(obj) {
+  const result = { ...obj };
+  for (const key of Object.keys(result)) {
+    if (SENSITIVE_KEYS.some(s => key.toLowerCase().includes(s))) {
+      result[key] = '***REDACTED***';
+    }
+  }
+  return result;
+}
+```
+
+---
+
+## 六、原型污染防护
+
+### 6.1 危险键黑名单
+
+```javascript
+const FORBIDDEN_KEYS = new Set([
+  '__proto__',
+  'prototype', 
+  'constructor',
+  'constructor.prototype'
+]);
+```
+
+### 6.2 安全合并函数
+
+```javascript
+function safeMerge(target, source) {
+  if (source === null || typeof source !== 'object') {
+    return source;
+  }
+  
+  const result = Array.isArray(source) ? [] : {};
+  
+  for (const key of Object.keys(source)) {
+    // 拒绝危险键
+    if (FORBIDDEN_KEYS.has(key)) continue;
+    
+    const value = source[key];
+    if (value && typeof value === 'object' && !Array.isArray(value)) {
+      result[key] = safeMerge(target?.[key] || {}, value);
+    } else {
+      result[key] = value;
+    }
+  }
+  
+  return { ...target, ...result };
+}
+
+// 使用
+const config = safeMerge(defaultConfig, JSON.parse(userJson));
+```
+
+### 6.3 JSON 解析安全
+
+```javascript
+// 危险
+const obj = JSON.parse(userJson);
+Object.assign(config, obj);
+
+// 安全
+const obj = JSON.parse(userJson);
+for (const k of Object.keys(obj)) {
+  if (k === '__proto__' || k === 'constructor' || k === 'prototype') {
+    delete obj[k];
+  }
+}
+Object.assign(config, obj);
+```
+
+---
+
+## 七、ReDoS 防护
+
+### 7.1 危险正则模式
+
+| 模式 | 问题 |
+|------|------|
+| `(a+)+$` | 嵌套量词 |
+| `(.*)+` | 通配符 + 量词 |
+| `(a\|aa)+$` | 重叠分支 |
+| `([a-zA-Z]+)*` | 字符类量词嵌套 |
+
+### 7.2 安全实践
+
+```javascript
+// 危险：用户控制正则
+const re = new RegExp(userPattern);
+re.test(longString);
+
+// 安全：预定义白名单
+const PATTERNS = {
+  username: /^[a-z0-9_-]{3,16}$/i,
+  email: /^[^\s@]+@[^\s@]+\.[^\s@]+$/,
+  tag: /^[A-Z]{1,10}$/
+};
+
+const pattern = PATTERNS[fieldType];
+if (pattern) pattern.test(input);
+
+// 安全：使用 Worker 隔离 + 超时
+const worker = new Worker('regex-worker.js');
+const timeout = setTimeout(() => worker.terminate(), 200);
+worker.postMessage({ pattern, input });
+```
+
+---
+
+## 八、框架特定检查
+
+### 8.1 Vue 安全检查
+
+```javascript
+// 危险
+<div v-html="userHtml"></div>
+<a :href="userUrl">Link</a>
+<div :style="userStyle"></div>
+
+// 安全
+<div>{{ userText }}</div>
+<div v-safe-html="userHtml"></div>  // 使用消毒指令
+<a :href="safeUrl(userUrl)">Link</a>
+<div :style="{ color: validatedColor }"></div>
+
+// 消毒指令示例
+app.directive('safe-html', {
+  beforeMount(el, binding) {
+    el.innerHTML = DOMPurify.sanitize(binding.value, {
+      ALLOWED_TAGS: ['b', 'i', 'a'],
+      ALLOWED_ATTR: ['href']
+    });
+  },
+  updated(el, binding) {
+    el.innerHTML = DOMPurify.sanitize(binding.value, {
+      ALLOWED_TAGS: ['b', 'i', 'a'],
+      ALLOWED_ATTR: ['href']
+    });
+  }
+});
+```
+
+### 8.2 React 安全检查
+
+```javascript
+// 危险
+<div dangerouslySetInnerHTML={{ __html: userHtml }} />
+<a href={userUrl}>Link</a>
+
+// 安全
+<div>{userText}</div>
+<SafeHtml html={userHtml} />
+<a href={safeUrl(userUrl)}>Link</a>
+
+// SafeHtml 组件
+function SafeHtml({ html }) {
+  const sanitized = DOMPurify.sanitize(String(html), {
+    ALLOWED_TAGS: ['b', 'i', 'a', 'ul', 'li'],
+    ALLOWED_ATTR: ['href', 'title']
+  });
+  return <div dangerouslySetInnerHTML={{ __html: sanitized }} />;
+}
+```
+
+### 8.3 Angular 安全检查
+
+```javascript
+// 危险
+this.safeHtml = this.sanitizer.bypassSecurityTrustHtml(userHtml);
+<div [innerHTML]="safeHtml"></div>
+
+// 安全：使用 Pipe
+@Pipe({ name: 'safeHtml' })
+export class SafeHtmlPipe implements PipeTransform {
+  transform(dirty: string): string {
+    return DOMPurify.sanitize(String(dirty), {
+      ALLOWED_TAGS: ['b', 'i', 'a']
+    });
+  }
+}
+
+<div [innerHTML]="userHtml | safeHtml"></div>
+```
+
+### 8.4 jQuery 安全检查
+
+```javascript
+// 危险
+$('p').html(userHtml);
+$('p').append(userData);
+$('a').attr('href', userUrl);
+
+// 安全
+$('p').text(userText);
+$('p').html(DOMPurify.sanitize(userHtml));
+const href = safeUrl(userUrl);
+if (href) $('a').attr('href', href);
+```
+
+---
+
+## 九、其他安全检查
+
+### 9.1 iframe 沙箱
+
+```javascript
+// 危险组合
+<iframe src={url} sandbox="allow-scripts allow-same-origin"></iframe>
+
+// 安全：最小权限
+<iframe 
+  src={safeUrl(url)} 
+  sandbox="allow-scripts"
+  referrerPolicy="no-referrer"
+></iframe>
+```
+
+### 9.2 WebSocket 安全
+
+```javascript
+// 危险
+new WebSocket(userUrl);
+new WebSocket(`ws://...?token=${localStorage.token}`);
+
+// 安全
+const wsUrl = safeUrl('wss://push.qq.com/realtime');
+const ws = new WebSocket(wsUrl, ['bearer', shortLivedToken]);
+```
+
+### 9.3 文件上传预览
+
+```javascript
+// 检查 MIME 和魔数
+const ALLOWED_TYPES = {
+  'image/png': '89504e47',
+  'image/jpeg': 'ffd8'
+};
+
+async function validateFile(file) {
+  if (!(file.type in ALLOWED_TYPES)) return false;
+  const sig = ALLOWED_TYPES[file.type];
+  const buf = await file.slice(0, sig.length / 2).arrayBuffer();
+  const hex = [...new Uint8Array(buf)]
+    .map(b => b.toString(16).padStart(2, '0'))
+    .join('');
+  return hex.startsWith(sig);
+}
+
+// 预览后释放 URL
+const url = URL.createObjectURL(file);
+img.onload = img.onerror = () => URL.revokeObjectURL(url);
+img.src = url;
+```
+
+### 9.4 Web Crypto 安全
+
+```javascript
+// 危险：使用 Math.random
+const token = Math.random().toString(36);
+
+// 安全：使用 crypto
+const iv = crypto.getRandomValues(new Uint8Array(12));
+const key = await crypto.subtle.generateKey(
+  { name: 'AES-GCM', length: 256 },
+  true,
+  ['encrypt', 'decrypt']
+);
+```
+
+### 9.5 Unicode 安全
+
+```javascript
+// 移除双向控制字符
+const BIDI = /[\u202A-\u202E\u2066-\u2069]/g;
+const CTRL = /[\u0000-\u001F\u007F]/g;
+const clean = s => String(s).replace(BIDI, '').replace(CTRL, '');
+```
+
+---
+
+## 十、配置与环境检查
+
+### 10.1 敏感信息
+
+- 禁止在前端代码中硬编码密钥、AK/SK
+- 环境变量仅在构建期注入
+- API 密钥通过后端代理
+
+### 10.2 第三方资源
+
+- 使用可信 CDN（内部镜像优先）
+- 所有外链资源使用 SRI
+- 高风险脚本放入沙箱 iframe
+
+### 10.3 安全响应头
+
+| 头部 | 推荐值 |
+|------|--------|
+| Content-Security-Policy | `default-src 'self'; script-src 'self' https://cdn.tencent.com;` |
+| X-Frame-Options | `DENY` 或配合 `frame-ancestors` |
+| X-Content-Type-Options | `nosniff` |
+| Referrer-Policy | `strict-origin-when-cross-origin` |
+| COOP | `same-origin` |
+| COEP | `require-corp` |
+
+### 10.4 Source Map
+
+- 生产环境禁止公网直链 Source Map
+- 仅上传至内部错误监控平台

package/knowledge/skills/bk-monitor-tapd-dev/SKILL.md

@@ -0,0 +1,41 @@
+---
+name: bk-monitor-tapd-dev
+description: 根据 TAPD 单据分析开发需求并生成方案。当用户需要开发 TAPD 需求/缺陷/任务时使用。
+---
+
+# TAPD 单据开发助手
+
+## 工作流程
+
+### Step 1: 获取 TAPD ID 并验证分支（阻塞）
+
+1. 获取 ID：用户提供或从分支名提取（`git branch --show-current`，匹配 `#(\d+)`）
+2. 验证分支是否包含该 ID
+   - 匹配 → 继续
+   - 不匹配 → 询问用户选择（创建分支/继续开发）
+
+### Step 2-3: 获取单据
+
+1. 解析 workspace_id = id.substring(2, 10)
+2. 调用 MCP（stories_get、bugs_get、tasks_get）获取单据详情和评论
+
+### Step 4-6: 分析与开发
+
+1. 分析需求（标题、描述、评论、截止日期）
+2. 按 dev-plan-template.md 生成方案
+3. 等待用户确认后开始开发
+
+## 注意事项
+
+- 分支验证是第一优先级
+- 方案需用户确认才能开始开发
+- 评论与描述冲突时以最新评论为准
+
+---
+
+## 📦 可用资源
+
+- `skill://bk-monitor-tapd-dev/references/branch-workflow.md`
+- `skill://bk-monitor-tapd-dev/references/dev-plan-template.md`
+- `skill://bk-monitor-tapd-dev/references/mcp-calls.md`
+- `skill://bk-monitor-tapd-dev/references/tapd-mcp-guide.md`