code-ai-installer 1.2.0 → 1.3.1

package/.agents/threat_model_baseline/SKILL.md

@@ -1,57 +1,210 @@
----
-name: threat_model_baseline
-description: Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.
----
-
-# Skill: Threat Model Baseline
-
-## Цель
-Встроить безопасность в дизайн до кода.
-
-## Принципы
-- Defense in depth
-- Least privilege
-- Input validation at boundaries
-- Secure by default
-- Audit trail для критичных операций (если применимо)
-
-## Входы
-- PRD (PII/платежи/критичные операции)
-- Роли/права
-- Интеграции
-- API Contracts
-
-## Выход (структура)
-- Assets
-- Attack surfaces
-- Threats → mitigations
-- Security requirements для реализации и тестов
-
-## 1) Assets (что защищаем)
-- аккаунты/сессии
-- данные пользователя (PII)
-- платежи/заказы (если есть)
-- админ-доступ
-
-## 2) Attack surfaces
-- публичные эндпоинты
-- загрузка файлов
-- вебхуки
-- auth flows
-
-## 3) Основные угрозы → меры (минимум)
-- Injection (SQL/NoSQL/command) → валидация/параметризация
-- XSS → экранирование/санитизация/Content Security Policy (если применимо)
-- CSRF → CSRF tokens / sameSite cookies (если применимо)
-- Auth bypass → строгая authz-проверка на сервере
-- SSRF → allowlist/запрет внутренних адресов (если есть fetch внешних URL)
-- Secrets leakage → secret storage + запрет логирования
-- Rate limiting / brute force → лимиты/блокировки/капча (по необходимости)
-
-## 4) Security requirements для реализации
-- где обязательно audit logging
-- требования к паролям/сессиям/токенам
-- политика хранения/удаления данных
-
-## Примечание
-Если есть комплаенс (GDPR и т.п.) — зафиксировать обязательные меры и сроки хранения.
+---
+name: threat_model_baseline
+description: Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.
+---
+
+# Skill: Threat Model Baseline
+
+Встроить безопасность в дизайн до кода.
+
+**Разделы:**
+1. [Принципы](#1-принципы)
+2. [Assets](#2-assets)
+3. [Attack Surfaces](#3-attack-surfaces)
+4. [Threat Table](#4-threat-table)
+5. [Risk Matrix](#5-risk-matrix)
+6. [OWASP Top 10 Checklist](#6-owasp)
+7. [Security Requirements](#7-requirements)
+8. [Пример: Smart Cart Rescue](#8-пример)
+9. [Output Template](#9-output)
+
+---
+
+## 1. Принципы
+
+| Принцип | Описание | Пример |
+|---------|---------|--------|
+| **Defense in depth** | Несколько слоёв защиты | Validation + auth + sanitization |
+| **Least privilege** | Минимальные права | DB user: readWrite only, no admin |
+| **Input validation at boundaries** | Не доверяй никакому input | Zod schema на каждый endpoint |
+| **Secure by default** | Безопасно "из коробки" | CORS whitelist, Helmet on, strict CSP |
+| **Fail securely** | Ошибка → безопасное состояние | Don't expose stack/DB errors |
+| **Audit trail** | Логируй критичные операции | Install, settings change, coupon create |
+
+---
+
+## 2. Assets
+
+Что мы защищаем:
+
+| Asset | Sensitivity | Impact if compromised |
+|-------|-----------|----------------------|
+| **App settings** | Medium | Widget shows incorrect data |
+| **Coupon codes** | Medium | Unauthorized discount usage |
+| **appInstanceId/tokens** | High | Unauthorized access to any installation |
+| **Wix OAuth tokens** | High | Full API access to user's Wix site |
+| **DB credentials** | Critical | Full data access + modification |
+| **Webhook secrets** | High | Spoofed install/uninstall events |
+| **User PII (email)** | High (GDPR) | Compliance violation, reputation damage |
+| **Admin access** | Critical | Full system control |
+
+---
+
+## 3. Attack Surfaces
+
+| Surface | Endpoints/Components | Risk Level |
+|---------|---------------------|-----------|
+| **Public API** | Widget endpoint (no auth) | Medium |
+| **Dashboard API** | Settings/Coupons CRUD | High |
+| **Webhooks** | Install/Uninstall | High |
+| **Embedded Script** | JS on Wix sites | Medium |
+| **Dashboard UI** | Wix iframe | Medium |
+| **Database** | MongoDB connection | High |
+| **Docker/Infra** | Ports, volumes, certs | Medium |
+
+---
+
+## 4. Threat Table
+
+Для каждой угрозы: описание, impact, likelihood, severity, mitigation.
+
+| # | Threat | Surface | Impact | Likelihood | Severity | Mitigation | Status |
+|---|--------|---------|--------|-----------|----------|-----------|--------|
+| T-01 | **NoSQL Injection** | Dashboard API | High | Medium | 🔴 P0 | Safe filter builder, Zod validation, `strictQuery: true` | ☐ |
+| T-02 | **XSS via settings** | Embedded Script | High | Medium | 🔴 P0 | Sanitize all user input before rendering, CSP headers | ☐ |
+| T-03 | **Webhook spoofing** | Webhook endpoint | High | Low | 🟠 P1 | Verify JWT signature, validate payload structure | ☐ |
+| T-04 | **IDOR (Insecure Direct Object Reference)** | Dashboard API | High | Medium | 🔴 P0 | Verify appInstanceId belongs to authenticated user | ☐ |
+| T-05 | **Secrets in code/logs** | All | Critical | Medium | 🔴 P0 | Env vars only, pino redact, .gitignore | ☐ |
+| T-06 | **Brute force coupon codes** | Widget endpoint | Medium | Low | 🟡 P2 | Rate limiting on widget endpoint | ☐ |
+| T-07 | **CSRF** | Dashboard API | Medium | Low | 🟠 P1 | SameSite cookies, origin check | ☐ |
+| T-08 | **Dependency supply chain** | npm packages | High | Low | 🟠 P1 | `npm audit`, lockfile, minimal deps | ☐ |
+| T-09 | **Man-in-the-middle** | All HTTP | High | Low | 🟠 P1 | HTTPS everywhere (Caddy), HSTS | ☐ |
+| T-10 | **Embed script injection** | Wix site | High | Low | 🟠 P1 | Script src from trusted origin only, no eval() | ☐ |
+
+---
+
+## 5. Risk Matrix
+
+### Impact × Likelihood
+
+```
+              │ Low Likelihood │ Medium │ High
+──────────────┼────────────────┼────────┼──────
+High Impact   │ 🟠 P1          │ 🔴 P0  │ 🔴 P0
+Medium Impact │ 🟡 P2          │ 🟠 P1  │ 🔴 P0
+Low Impact    │ 🟡 P2          │ 🟡 P2  │ 🟠 P1
+```
+
+### Severity actions
+
+| Severity | Action | Timeline |
+|----------|--------|----------|
+| 🔴 **P0** | Must fix before release | This sprint |
+| 🟠 **P1** | Fix in current iteration | Next 2 sprints |
+| 🟡 **P2** | Track in backlog | When resources allow |
+
+---
+
+## 6. OWASP Top 10 Checklist
+
+| # | OWASP Category | Relevant? | Mitigation | Status |
+|---|---------------|:---------:|-----------|--------|
+| A01 | **Broken Access Control** | ✅ | Auth middleware, IDOR check, role validation | ☐ |
+| A02 | **Cryptographic Failures** | ✅ | HTTPS, bcrypt for passwords, no secrets in logs | ☐ |
+| A03 | **Injection** | ✅ | Zod validation, safe filter builder, no eval() | ☐ |
+| A04 | **Insecure Design** | ✅ | Threat model (this doc), defense in depth | ☐ |
+| A05 | **Security Misconfiguration** | ✅ | Helmet, CORS whitelist, strict CSP, no debug in prod | ☐ |
+| A06 | **Vulnerable Components** | ✅ | npm audit, lockfile, minimal dependencies | ☐ |
+| A07 | **Auth Failures** | ⬜ | Wix handles auth (OAuth flow) | N/A |
+| A08 | **Data Integrity Failures** | ✅ | Webhook signature verification, input validation | ☐ |
+| A09 | **Logging Failures** | ✅ | Structured logs, request correlation, no PII in logs | ☐ |
+| A10 | **SSRF** | ⬜ | No user-controlled URL fetching | N/A |
+
+---
+
+## 7. Security Requirements
+
+### For implementation (DEV gate)
+
+| Requirement | Where | How to verify |
+|------------|-------|--------------|
+| Input validation on every endpoint | API middleware | Unit test: invalid input → 400 |
+| Auth check on protected endpoints | Auth middleware | Test: no token → 401 |
+| IDOR prevention | Controllers | Test: wrong appInstanceId → 403 |
+| Secure error responses | Error handler | Test: 500 → no stack in response |
+| Secrets via env only | Config module | grep: no hardcoded secrets |
+| Helmet + CORS | Express setup | Integration test: check headers |
+| PII redaction in logs | Pino config | Log output: no passwords/tokens |
+
+### For review (REV gate)
+
+| Requirement | How to verify |
+|------------|--------------|
+| No `eval()`, `Function()`, `dangerouslySetInnerHTML` without sanitize | grep |
+| No `eslint-disable-next-line` for security rules | grep |
+| `npm audit` clean (no high/critical) | `npm audit --audit-level=high` |
+| No TODO/FIXME related to security | grep `TODO.*secur\|FIXME.*auth` |
+
+---
+
+## 8. Пример: Smart Cart Rescue
+
+```markdown
+# Threat Model: Smart Cart Rescue
+
+## Key Assets
+- Wix OAuth tokens, appInstanceId
+- Coupon codes, settings data
+- DB credentials
+
+## Top Threats (prioritized)
+1. 🔴 T-01: NoSQL injection via dashboard API → Zod + safe filter
+2. 🔴 T-04: IDOR on settings/coupons → verify appInstanceId ownership
+3. 🔴 T-05: Secrets in code → env vars + pino redact
+4. 🟠 T-03: Webhook spoofing → JWT verification
+5. 🟠 T-10: Embed script injection → trusted origin, no eval
+
+## OWASP Coverage: 8/10 categories addressed (A07, A10 N/A)
+```
+
+---
+
+## 9. Output Template
+
+```markdown
+# Threat Model Baseline: <project-name>
+
+**Date:** YYYY-MM-DD
+**Scope:** <what's covered>
+
+## Assets
+<section 2 table>
+
+## Attack Surfaces
+<section 3 table>
+
+## Threats
+<section 4 table — prioritized by severity>
+
+## Risk Matrix
+<section 5>
+
+## OWASP Top 10
+<section 6 checklist>
+
+## Security Requirements
+<section 7 tables>
+
+## Summary
+- P0 threats: X (must fix before release)
+- P1 threats: Y (fix in current iteration)
+- P2 threats: Z (backlog)
+```
+
+---
+
+## См. также
+- `$security_baseline_dev` — implementation patterns (Zod, Helmet, bcrypt)
+- `$security_review` — AppSec review checklist
+- `$api_contracts` — auth/error conventions
+- `$observability_logging` — PII redaction, audit logging

package/.agents/threat_model_baseline/agents/claude.json

@@ -1,13 +1,13 @@
 {
   "name": "threat_model_baseline",
   "display_name": "Базовая модель угроз",
-  "description": "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
+  "description": "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
   "default_prompt": "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\".",
   "triggers": [
     "threat_model_baseline",
     "threat model baseline",
     "Базовая модель угроз",
-    "Базовая модель угроз (threat baseline) для MVP"
+    "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры"
   ],
   "capabilities": [
     "threat",

package/.agents/threat_model_baseline/agents/copilot.json

@@ -1,13 +1,13 @@
 {
   "name": "threat_model_baseline",
   "display_name": "Базовая модель угроз",
-  "description": "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
+  "description": "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
   "default_prompt": "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\".",
   "triggers": [
     "threat_model_baseline",
     "threat model baseline",
     "Базовая модель угроз",
-    "Базовая модель угроз (threat baseline) для MVP"
+    "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры"
   ],
   "capabilities": [
     "threat",

package/.agents/threat_model_baseline/agents/gemini.json

@@ -1,13 +1,13 @@
 {
   "name": "threat_model_baseline",
   "display_name": "Базовая модель угроз",
-  "description": "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
+  "description": "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
   "default_prompt": "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\".",
   "triggers": [
     "threat_model_baseline",
     "threat model baseline",
     "Базовая модель угроз",
-    "Базовая модель угроз (threat baseline) для MVP"
+    "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры"
   ],
   "capabilities": [
     "threat",

package/.agents/threat_model_baseline/agents/openai.yaml

@@ -1,6 +1,6 @@
 interface:
   display_name: "Базовая модель угроз"
-  short_description: "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-рис…"
+  short_description: "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-ри…"
   default_prompt: "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\"."
 dependencies:
   tools: []

package/.agents/threat_model_baseline/agents/qwen.json

@@ -1,13 +1,13 @@
 {
   "name": "threat_model_baseline",
   "display_name": "Базовая модель угроз",
-  "description": "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
+  "description": "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права.",
   "default_prompt": "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\".",
   "triggers": [
     "threat_model_baseline",
     "threat model baseline",
     "Базовая модель угроз",
-    "Базовая модель угроз (threat baseline) для MVP"
+    "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры"
   ],
   "capabilities": [
     "threat",

package/.agents/threat_model_baseline/agents/skill.yaml

@@ -1,13 +1,13 @@
 version: 1
 name: "threat_model_baseline"
 display_name: "Базовая модель угроз"
-description: "Базовая модель угроз (threat baseline) для MVP: активы, векторы атак, меры. Учитывает OWASP-риски и роли/права."
+description: "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры. Учитывает OWASP-риски и роли/права."
 default_prompt: "Используй $threat_model_baseline, когда задача относится к навыку \"Базовая модель угроз\"."
 triggers:
   - "threat_model_baseline"
   - "threat model baseline"
   - "Базовая модель угроз"
-  - "Базовая модель угроз (threat baseline) для MVP"
+  - "Базовая модель угроз (threat baseline) для MVP — активы, векторы атак, меры"
 capabilities:
   - "threat"
   - "model"