security-review

原文涵盖的主题

• Güvenlik İnceleme Skill'i
• Ne Zaman Aktifleştirmelisiniz
• Güvenlik Kontrol Listesi
• 1. Secret Yönetimi
• FAIL: ASLA Bunu Yapmayın
• PASS: HER ZAMAN Bunu Yapın
• Doğrulama Adımları
• 2. Input Doğrulama

Bu skill tüm kodun güvenlik en iyi uygulamalarını takip etmesini sağlar ve potansiyel güvenlik açıklarını tanımlar. Kimlik doğrulama veya yetkilendirme uygularken Kullanıcı girdisi veya dosya yüklemeleri işlerken Yeni API endpoint'leri oluştururken Secret'lar veya kimlik bilgileriyle çalışırken Ödeme özellikleri uygularken Hassas veri saklarken veya iletirken Üçüncü taraf API'leri entegre ederken [ ] Hardcoded API key, token veya şifre yok [ ] Tüm secret'lar environment variable'larda [ ] .env.local .gitignore'da [ ] Git history'de secret yok [ ] Production secret'ları hosting platformunda (Vercel, Railway) [ ] Tüm kullanıcı girdileri şema ile doğrulanmış [ ] Dosya yüklemeleri kısıtlanmış (boyut, tip, uzantı) [ ] Kullanıcı girdisi doğrudan sorgularda kullanılmıyor [ ] Whitelist doğrulama (blacklist değil) [ ] Hata mesajları hassas bilgi sızdırmıyor [ ] Tüm veritabanı sorguları parametreli [ ] SQL'de string concatenation yok [ ] ORM/query builder doğru kullanılıyor [ ] Supabase sorguları düzgün sanitize edilmiş [ ] Token'lar httpOnly cookie'lerde (localStorage'da değil) [ ] Hassas operasyonlardan önce yetkilendirme kontrolleri [ ] Supabase'de Row Level Security aktif [ ] Rol tabanlı

这里只展示节选，请以完整原文和当前要求为准。