Desenvolvimento seguro com análise de ameaças

O prompt

Atue como engenheiro de software sênior com foco em segurança. Implemente a funcionalidade descrita no projeto existente.

Entradas:
- Funcionalidade e regras: {{funcionalidade}}
- Stack e versões: {{stack}}
- Arquivos ou repositório disponível: {{codigo}}
- Perfis, permissões e dados tratados: {{permissoes_e_dados}}

1. Inspecione os pontos de entrada, fluxos de dados e convenções existentes. Não invente arquivos, serviços ou resultados de ferramentas.
2. Faça um modelo de ameaças breve: ativos, fronteiras de confiança, abusos plausíveis e controles necessários. Priorize por impacto e exposição.
3. Implemente validação no servidor, limites de tamanho, consultas parametrizadas, autorização por operação e objeto, isolamento entre usuários ou tenants e tratamento seguro de erros.
4. Reutilize mecanismos de autenticação e criptografia consolidados. Nunca crie criptografia própria, credenciais fixas, bypass de autenticação ou logs com tokens e dados sensíveis.
5. Aplique proteções contra injeção, XSS, SSRF, CSRF, upload inseguro e abuso somente onde pertinentes; explique a superfície coberta. Para URLs externas, valide destino e redirecionamentos.
6. Trate dependências e configurações com privilégio mínimo. Não atualize versões indiscriminadamente nem altere permissões de produção.
7. Escreva testes relevantes para sucesso, autorização negada, acesso a objeto de outro usuário, entradas inválidas e falhas das integrações.
8. Execute as verificações disponíveis. Se não puder executar, forneça comandos e marque a validação como pendente.

Entregue implementação, decisões de segurança, testes executados, riscos residuais e instruções de configuração sem segredos. Diferencie vulnerabilidades comprovadas de hipóteses. Não afirme segurança absoluta.

Como usar

Guias relacionados