security-best-practices：按语言与框架做安全审查

什么时候用

• 明确要求安全方面的指导、安全审查或安全报告，或要写默认更安全的代码。[2]
• 项目使用 Python、JavaScript/TypeScript 或 Go。[2]

什么时候不用

• 普通代码评审、调试或与安全无关的任务，官方说明不要触发。[2]
• 项目语言不在 Python、JavaScript/TypeScript、Go 之内时，官方说明只在支持的语言触发。[2]

工作方式与三种用法

SKILL.md 要求先找出项目里所有的语言和主要框架，前后端都要看，再到 references 目录找对应文档，文件名格式为 <语言>-<框架>-<技术栈>-security.md，并读完与之相关的全部文件。[2]

• 主要模式：此后按安全默认的方式写新代码。
• 次要模式：写代码时被动发现影响最大的问题并告诉你。
• 报告模式：你要求时，输出按严重程度和紧迫度分节的报告，再询问是否开始修复。

[2]

references 目录当前列出 Go、Express、jQuery、Next.js、React、Vue、Django、FastAPI、Flask 等对应文件。[5]

没有匹配的 references 文件时，SKILL.md 让模型凭已知的安全常识判断，必要时可联网查资料；要出报告则须告诉你缺少具体指引。[2]

依赖与前置条件

[2][1]

官方还要求：修复一次只处理一条发现，并遵循你已有的提交与测试流程，避免引入回归。[2]

安装、许可证与仓库状态

官方未提供本技能的安装命令。README 只逐字示例了另一个技能 gh-address-comments，并说明 curated 技能可在 Codex 里用 $skill-installer 按名称安装、装完需重启 Codex；这是通用说明，不当作本技能的官方命令。[4]

技能目录内的 LICENSE.txt 含完整的 Apache License 2.0 条款（201 行）。[3]

README 说明各技能的许可证以其目录内 LICENSE.txt 为准。[4]

固定版本的技能目录列表只有 LICENSE.txt、SKILL.md、agents、references，未见 NOTICE 文件，也没有 scripts 目录。[1]

README 开头标注该仓库已弃用，并指向 OpenAI Plugins 仓库。本条按固定版本的原文整理，后续是否移动、更新待确认。[4]