alp-code 0.9.0

package/skills/security-scan/SKILL.md

@@ -0,0 +1,101 @@
+---
+name: security-scan
+description: Quét bảo mật bằng Grep + shell — secret lộ, phụ thuộc có CVE, mẫu lỗ hổng phổ biến, .env bị track. Kích hoạt khi được giao concern security, khi nghi có credential trong code, hoặc trước khi chốt một thay đổi chạm xác thực hay dữ liệu.
+---
+
+# security-scan — quét lỗ hổng cơ học
+
+Dùng cho concern `security`. Đây là bước **quét**, không phải bước
+kết luận: nó tìm chỗ đáng ngờ nhanh và đầy đủ, còn xác định có thật là lỗ hổng hay không
+vẫn là việc đọc code của bạn.
+
+Không cần cài gì thêm — chỉ `Grep`, `Glob` và `Bash`.
+
+## Thứ tự chạy
+
+Chạy đúng thứ tự này. Secret trước vì nó là loại phát hiện **khẩn cấp nhất** — một key lộ
+cần xoay ngay, không đợi hết báo cáo.
+
+### 1. Nhận diện loại project
+
+`package.json` → Node · `requirements.txt`/`pyproject.toml` → Python · `go.mod` → Go ·
+`Cargo.toml` → Rust. Không nhận ra thì bỏ bước audit phụ thuộc, nói rõ trong báo cáo.
+
+### 2. Quét secret — luôn chạy
+
+Mẫu regex: `references/secret-patterns.md`.
+
+Bỏ qua: `.env.example`, fixture test, tài liệu, `node_modules/`, `dist/`, `vendor/`.
+
+Mỗi khớp phải tự hỏi: đây là secret thật hay placeholder (`YOUR_API_KEY`, `xxx`, `changeme`)?
+Placeholder mà báo CHẶN là cách nhanh nhất để lần sau không ai đọc báo cáo của bạn nữa.
+
+### 3. Audit phụ thuộc
+
+```bash
+npm audit --json 2>/dev/null || echo 'npm audit không chạy được'
+pip-audit --format json 2>/dev/null || echo 'pip-audit không có'
+```
+
+Không chạy được thì ghi "chưa audit được vì …" — **không** suy ra là sạch.
+
+### 4. Mẫu lỗ hổng trong code
+
+Mẫu: `references/vulnerability-patterns.md`. Grep xong thì **đọc 5–10 dòng quanh chỗ khớp**
+rồi mới kết luận. Grep một mình chỉ ra chỗ đáng nhìn, không ra lỗ hổng.
+
+Nhóm chính: SQL injection (nối chuỗi vào query), XSS (`innerHTML`,
+`dangerouslySetInnerHTML` không sanitize), command injection (`exec`/`spawn` với input
+chưa lọc), path traversal, randomness không an toàn (`Math.random` cho mục đích bảo mật),
+`eval()`/`Function()` với input động.
+
+### 5. Kiểm tra .env bị track
+
+```bash
+git ls-files --error-unmatch .env .env.local .env.production 2>/dev/null
+grep -n '\.env' .gitignore 2>/dev/null
+```
+
+## Luật cứng khi xử lý secret
+
+- **Không bao giờ in giá trị secret thật ra báo cáo.** Che còn 4 ký tự đầu + 2 ký tự cuối.
+- **Không chạy, không dùng, không thử** credential tìm được. Kể cả để "kiểm chứng xem có
+  thật không" — dùng thử một key thật là hành động khó đảo ngược (HOUSE-RULES §1.2).
+- Tìm thấy credential thật → khuyến nghị **xoay ngay**, và nói rõ nó đã nằm trong lịch sử
+  git thì xoá file không đủ.
+- Không tự sửa code, kể cả khi loadout có cấp `Edit`. Quét là việc đọc.
+
+## Mẫu báo cáo
+
+Dùng đúng ba mức của `code-review` để bên giao việc không phải quy đổi thang.
+
+```
+## Quét bảo mật: <scope>
+
+Đã chạy: <lệnh nào chạy được, lệnh nào không>
+File đã quét: <số>
+
+Tổng: CHẶN n · NÊN SỬA n · GHI NHẬN n
+
+### CHẶN
+- [SECRET] `src/config.js:42` — AWS key, khớp `AKIA[0-9A-Z]{16}`, giá trị `AKIA…4F`
+  Sửa: xoay key ngay, chuyển sang biến môi trường. Key đã vào lịch sử git.
+- [SQLi] `src/db/user.ts:88` — nối trực tiếp `req.query.id` vào câu SQL
+  Bằng chứng: <đoạn code>
+
+### NÊN SỬA
+- …
+
+### GHI NHẬN
+- …
+
+### Chưa kiểm chứng được
+<phần grep khớp nhưng chưa đọc đủ ngữ cảnh để kết luận, và vì sao>
+```
+
+## Phạm vi
+
+**Làm:** phát hiện secret, audit phụ thuộc, mẫu lỗ hổng phổ biến, `.env` bị track.
+
+**Không làm:** pentest, phân tích lúc chạy, bảo mật hạ tầng, audit tuân thủ. Việc đó vượt
+quá thứ đọc code tĩnh trả lời được — gặp thì báo lại, đừng giả vờ kết luận.

package/skills/security-scan/references/secret-patterns.md

@@ -0,0 +1,75 @@
+# Mẫu phát hiện secret
+
+Mẫu regex dùng với `Grep`. Loại trừ file test và file ví dụ **trước khi** quét, không lọc sau.
+
+## Độ tin cậy cao — có cấu trúc, ít báo nhầm
+
+Khớp một trong những mẫu này gần như chắc chắn là secret thật. Xử lý ngay, không đợi quét xong.
+
+| Nguồn | Mẫu |
+|---|---|
+| AWS | `AKIA[0-9A-Z]{16}` |
+| GitHub | `gh[pousr]_[A-Za-z0-9_]{36,255}` · `github_pat_[A-Za-z0-9_]{22,}` |
+| Stripe | `sk_live_[0-9a-zA-Z]{24,}` · `rk_live_[0-9a-zA-Z]{24,}` |
+| Slack | `xox[baprs]-[0-9a-zA-Z-]{10,}` |
+| Google Cloud | `AIza[0-9A-Za-z_-]{35}` |
+| Anthropic | `sk-ant-[A-Za-z0-9_-]{40,}` |
+| Private key | `-----BEGIN (RSA \|EC \|DSA \|OPENSSH )?PRIVATE KEY-----` |
+| JWT trong code | `eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}` |
+
+Riêng `sk_live_` của Stripe và `AKIA` của AWS: đây là **khoá production**. Tìm thấy thì
+khuyến nghị xoay ngay, và nói rõ nó đã nằm trong lịch sử git nên xoá file không đủ.
+
+## Độ tin cậy vừa — phải đọc ngữ cảnh
+
+Mẫu dưới đây khớp cả secret thật lẫn placeholder. **Đọc 5–10 dòng quanh chỗ khớp** rồi mới
+kết luận.
+
+**Khoá API chung**
+
+```
+(?i)(api[_-]?key|apikey|api[_-]?secret)\s*[:=]\s*['"][A-Za-z0-9/+=]{16,}['"]
+```
+
+**Chuỗi kết nối database có credential**
+
+```
+(?i)(postgres|mysql|mongodb|redis)://[^:]+:[^@]+@
+```
+
+**Mật khẩu trong code**
+
+```
+(?i)(password|passwd|pwd)\s*[:=]\s*['"][^'"]{8,}['"]
+```
+
+**Secret chung**
+
+```
+(?i)(secret|token|credential)\s*[:=]\s*['"][A-Za-z0-9/+=]{16,}['"]
+```
+
+## Loại trừ
+
+Bỏ qua khớp trong:
+
+| Loại | Cụ thể |
+|---|---|
+| File | `*.example`, `*.test.*`, `*.spec.*`, `*.md`, `*.txt` |
+| Thư mục | `node_modules/`, `dist/`, `vendor/`, `__pycache__/` |
+| Nội dung | dòng có `TODO`, `FIXME`, `YOUR_`, `REPLACE_`, `xxx`, `placeholder`, `changeme` |
+| Nội dung | khai biến không có giá trị thật: `= process.env.`, `= os.getenv(` |
+
+Dòng cuối quan trọng: `const key = process.env.API_KEY` là code **đúng**, không phải lỗ
+hổng. Báo nó là CHẶN thì lần sau không ai đọc báo cáo của bạn nữa.
+
+## Khi báo cáo
+
+**Không bao giờ in giá trị secret thật.** Che còn 4 ký tự đầu + 2 ký tự cuối:
+
+```
+`src/config.js:42` — AWS key, khớp `AKIA[0-9A-Z]{16}`, giá trị `AKIA…4F`
+```
+
+Và **không chạy, không dùng thử** credential tìm được — kể cả để kiểm xem nó còn hiệu lực
+không. Dùng thử một khoá thật là thao tác khó đảo ngược (HOUSE-RULES §1.2).

package/skills/security-scan/references/vulnerability-patterns.md

@@ -0,0 +1,136 @@
+# Mẫu lỗ hổng trong code
+
+Mẫu regex dùng với `Grep`.
+
+**Grep chỉ ra chỗ đáng nhìn, không ra lỗ hổng.** Mỗi chỗ khớp phải đọc 5–10 dòng xung quanh
+rồi mới kết luận. Bỏ bước đó thì báo cáo đầy báo nhầm, và phần thật bị chìm mất.
+
+## SQL injection
+
+Nối chuỗi vào truy vấn:
+
+```
+(?i)(query|sql|execute)\s*\(.*\+.*\)
+(?i)(SELECT|INSERT|UPDATE|DELETE|DROP).*['"].*\+
+```
+
+Template literal (JS/TS):
+
+```
+(?i)(query|sql|execute)\s*\(`.*\$\{
+```
+
+Câu hỏi quyết định khi đọc ngữ cảnh: **giá trị nối vào có nguồn gốc từ người dùng không?**
+Nối một hằng số trong code không phải lỗ hổng.
+
+## XSS
+
+Thao tác DOM nguy hiểm:
+
+```
+\.innerHTML\s*=
+dangerouslySetInnerHTML
+document\.write\(
+```
+
+Output không escape ở template engine:
+
+```
+\{\{\{        # Handlebars — ba ngoặc nhọn
+<%-\s*        # EJS — khác <%= (có escape)
+\|safe\b      # Jinja2 / Django
+v-html=       # Vue
+```
+
+## Command injection
+
+```
+(?i)(exec|execSync|spawn|spawnSync)\s*\(.*\+
+(?i)(exec|execSync|spawn|spawnSync)\s*\(`.*\$\{
+(?i)child_process.*\(.*\$\{
+os\.system\(.*\+
+subprocess\.(call|run|Popen)\(.*\+
+```
+
+Đây là nhóm nguy hiểm nhất: chạy được lệnh tuỳ ý thường nghĩa là chiếm được máy.
+
+## Path traversal
+
+```
+(?i)(readFile|writeFile|createReadStream|open)\s*\(.*req\.(params|query|body)
+(?i)(readFile|writeFile)\s*\(.*\+.*\)
+```
+
+## Randomness không an toàn
+
+```
+Math\.random\(\).*(?i)(token|key|secret|password|session|nonce|salt)
+```
+
+`Math.random()` không phải nguồn ngẫu nhiên mật mã. Dùng nó sinh token phiên nghĩa là token
+đoán được — CHẶN, kể cả khi "chưa ai khai thác".
+
+## Hàm nguy hiểm
+
+```
+\beval\s*\(
+new\s+Function\s*\(
+setTimeout\s*\(\s*['"]      # truyền chuỗi = eval trá hình
+setInterval\s*\(\s*['"]
+```
+
+Giải tuần tự hoá:
+
+```
+(?i)(pickle\.loads|yaml\.load\(|unserialize\()
+JSON\.parse\(.*req\.(params|query|body)
+```
+
+`yaml.load()` không có `SafeLoader` và `pickle.loads()` trên dữ liệu ngoài đều là chạy code
+tuỳ ý, không phải chỉ đọc dữ liệu.
+
+## Xác thực / phân quyền
+
+Credential hardcode:
+
+```
+(?i)(admin|root|password)\s*[:=]\s*['"][^'"]{4,}['"]
+```
+
+Tắt bảo mật:
+
+```
+(?i)(verify|ssl|tls|certificate)\s*[:=]\s*(false|False|0)
+(?i)rejectUnauthorized\s*:\s*false
+NODE_TLS_REJECT_UNAUTHORIZED.*0
+```
+
+Nhóm "tắt bảo mật" đáng soi kỹ: nó thường được thêm để chữa một lỗi lúc phát triển rồi
+không ai gỡ. Tìm thấy trong code chạy thật thì đó là CHẶN.
+
+## Lộ thông tin
+
+```
+(?i)console\.(log|debug|trace)\s*\(.*(?:password|secret|token|key|credential)
+(?i)(DEBUG|VERBOSE)\s*[:=]\s*(true|True|1)
+```
+
+## Dấu hiệu báo nhầm
+
+Bỏ qua chỗ khớp có:
+
+- `test`, `spec`, `mock`, `fixture`, `example`, `sample`, `demo`
+- `TODO`, `FIXME`, `HACK`
+- Đọc từ biến môi trường: `process.env.`, `os.getenv(`
+- Nằm trong comment (`//`, `#`, `/*`)
+
+## Xếp mức
+
+| Mức | Khi |
+|---|---|
+| **CHẶN** | khai thác được từ input người dùng, dẫn tới chạy code tuỳ ý, vượt xác thực, hoặc lộ dữ liệu |
+| **NÊN SỬA** | mẫu nguy hiểm nhưng đường vào hiện chưa mở, hoặc có lớp chặn khác phía trước |
+| **GHI NHẬN** | chỉ trong code test/dev, không lên production |
+
+Chưa xác định được input có tới được chỗ đó không → ghi vào mục **Chưa kiểm chứng được**,
+đừng đoán rồi xếp CHẶN.