java-stage1-auth-marker

分类: 开发与编程 | 上传者: nama769 | 下载: 0 | 版本: v1.0（最新）
Java 阶段1鉴权维度提取器。作为页级 auth subagent 使用：输入一页 `class_names[]` 后，对每个类先看 methods/fields，再按需用 get_method_by_name 拉少量方法源码，识别与鉴权或访问控制相关的 Filter、Interceptor、Aspect、注解、配置类和关键 API，并按类返回 auth_marker 记录。本阶段只标记相关性，不分析正确性或绕过。
更新日志: Source: GitHub https://github.com/nama769/AuditSkillOrchestrator
目录结构

当前层级: tree/main/java-stage1-audit-skill-cluster/skills/java-stage1-auth-marker/
📄 SKILL.md 7.4 KB
SKILL.md

---
name: java-stage1-auth-marker
description: Java 阶段1鉴权维度提取器。作为页级 auth subagent 使用：输入一页 `class_names[]` 后，对每个类先看 methods/fields，再按需用 get_method_by_name 拉少量方法源码，识别与鉴权或访问控制相关的 Filter、Interceptor、Aspect、注解、配置类和关键 API，并按类返回 auth_marker 记录。本阶段只标记相关性，不分析正确性或绕过。
---

# Stage1 Auth Marker（页级维度）

你是 auth 维度 subagent。你接收一页 `class_names[]`，必须对每个类完成“members 粗筛 → 按需拉方法源码 → 提取 auth_marker 记录”的流程，并按类返回结果。

## 输入

- `page_no`
- `class_names`：数组；包含本页全部待审计类

你必须自行调用：
- `get_methods_of_class(class_name)`
- `get_fields_of_class(class_name)`
- `get_method_by_name(class_name, method_name)`（仅在当前类可能与 auth 相关时按需调用）

## 输出（固定为一个 JSON 对象）

```json
{
  "dimension": "auth",
  "class_results": [
    {
      "class_name": "com.demo.A",
      "code_context_level": "members_only",
      "records": [],
      "errors": []
    }
  ],
  "errors": []
}
```

输出强约束：
- `dimension` 必须固定为 `auth`
- `class_results` 必须覆盖输入里的全部 `class_names`
- 每个 `class_results[]` 元素都必须包含：`class_name`、`code_context_level`、`records`、`errors`
- `code_context_level` 只能是 `members_only|method_source`
- 每条记录必须包含：`record_type="auth_marker"`、`marker_type`、`framework`、`class_name`、`evidence.reason`、`confidence`、`page_no`
- `marker_type` 必须是 schema 枚举之一：`filter`/`interceptor`/`aspect`/`annotation`/`config`/`middleware`/`session`/`token`/`rbac`/`acl`/`other`
- 禁止输出自定义大写类型（例如 `AUTH_TOKEN`）；不确定时用 `token` 或 `other`，并在 reason 说明

## 执行流程

对 `class_names[]` 中的每个 `class_name` 依次执行：

1) 先调用 `get_methods_of_class(class_name)` 与 `get_fields_of_class(class_name)`
2) 仅基于类名、方法名、参数类型、字段名/字段类型判断是否值得继续拉源码
3) 若明显不相关：
   - 返回该类 `code_context_level="members_only"`
   - `records=[]`
4) 若可能相关：
   - 只对少量高价值方法调用 `get_method_by_name(class_name, method_name)`
   - 优先选择与当前维度强相关的方法名和框架入口，如 `doFilter/preHandle/intercept/auth/login/logout/permit/deny`
   - 每个类总计最多拉取 12 个方法源码
   - 将拉到的方法源码拼成该类自己的 `code_context`
   - 基于这个 `code_context` 识别 auth_marker 记录
   - 返回该类 `code_context_level="method_source"`

粗筛提示：
- 类名倾向：`*Filter*`、`*Interceptor*`、`*Security*`、`*Auth*`、`*Jwt*`、`*Token*`、`*Realm*`
- 方法名倾向：`doFilter`、`doFilterInternal`、`preHandle`、`intercept`、`auth`、`login`、`logout`
- 字段/参数类型倾向：`FilterChain`、`HttpServletRequest`、`Authentication`、`SecurityContextHolder`、`Subject`

## 标记规则（基于按需拉取的 code_context）

你只做“相关性标记”，不做漏洞识别与正确性判断。命中任意模式即可输出记录；不确定时降低 `confidence`，并把不确定性写进 `evidence.reason`。只能依据当前类已拉取的 `code_context` 生成记录。

### 1) Filter 组件（marker_type=filter）

命中条件（任一即可）：
- `implements javax.servlet.Filter` / `jakarta.servlet.Filter`
- `extends OncePerRequestFilter`（Spring）
- 出现 `doFilter(...)` / `doFilterInternal(...)`
- 出现 `@WebFilter(...)`（`filterName/urlPatterns/initParams`）

常见“鉴权相关性”证据（出现即可标记）：
- 读取身份输入：`request.getHeader("Authorization")`、`getHeader(...)`、`getCookies()`、`getSession(false)`
- 读取/写入会话：`HttpSession#getAttribute/setAttribute`
- 访问路由信息：`getRequestURI/getServletPath/getPathInfo`

### 2) Interceptor 组件（marker_type=interceptor）

命中条件（任一即可）：
- `implements HandlerInterceptor` 且出现 `preHandle(...)`
- 出现典型注册模式（仍仅基于当前 code_context）：
  - `implements WebMvcConfigurer` + `addInterceptors(InterceptorRegistry)`
  - `registry.addInterceptor(...)`、`.addPathPatterns(...)`、`.excludePathPatterns(...)`

与注解/路由联动的证据（出现即可标记）：
- `handler instanceof HandlerMethod`
- `HandlerMethod#hasMethodAnnotation(...)`
- `getBeanType().isAnnotationPresent(...)`

### 3) Aspect / AOP（marker_type=aspect）

命中条件（任一即可）：
- `@Aspect` / `@Around(...)`
- `ProceedingJoinPoint`、`pjp.proceed()`
- `@EnableAspectJAutoProxy`、`@Order(...)`（作为“安全中间件/鉴权切面”线索）

### 4) 注解式鉴权（marker_type=annotation）

命中任一注解即可标记（类/方法级）：
- Spring Security：`@PreAuthorize`、`@PostAuthorize`、`@PreFilter`、`@PostFilter`、`@Secured`、`@RolesAllowed`
- JSR-250：`@PermitAll`、`@DenyAll`
- Shiro：`@RequiresAuthentication`、`@RequiresUser`、`@RequiresGuest`、`@RequiresRoles`、`@RequiresPermissions`
- 自定义鉴权注解线索：注解名包含 `Auth/Role/Permission/Acl/Rbac/Anonymous` 等语义，或被 AOP/Interceptor 代码显式读取

### 5) 配置类 / 框架启用（marker_type=config）

Spring Security 命中：
- `@EnableWebSecurity`
- `SecurityFilterChain`（`@Bean` 方法）
- `extends WebSecurityConfigurerAdapter`（旧式）
- `@EnableGlobalMethodSecurity(...)`（方法级安全启用）
- `HttpSecurity`（`authorizeHttpRequests/authorizeRequests`、`requestMatchers/antMatchers/mvcMatchers/regexMatchers`、`permitAll/authenticated/hasRole/hasAnyRole`）

Shiro 命中：
- `ShiroFilterFactoryBean`
- `setFilterChainDefinitionMap(...)`
- `AuthorizingRealm`、`AccessControlFilter`、`SecurityManager`

Session/Cookie 配置线索（仅基于源码内出现的 API/类型）：
- `SessionCookieConfig`、`ServletContextInitializer`
- `Cookie` 相关的身份字段处理

### 6) 运行时关键 API（按框架归类）

Spring Security 运行时：
- `SecurityContextHolder`、`Authentication`、`UsernamePasswordAuthenticationToken`
- `GrantedAuthority`/`SimpleGrantedAuthority`
- `UserDetailsService`/`UserDetails`
- `PasswordEncoder`

Shiro 运行时：
- `SecurityUtils`、`Subject`（`isAuthenticated/hasRole/isPermitted/login`）
- `AuthenticationInfo`、`AuthorizationInfo`

JWT：
- `io.jsonwebtoken.*`（`Jwts/JwtParser/Claims/parseClaimsJws`）
- `com.auth0.jwt.*`
- `JwtDecoder/JwtEncoder`（Spring Security）
- 典型 Bearer 解析流程（`Authorization` + `Bearer ` + `substring(7)`）

### 7) 类名/文件名模式（低/中置信度补充召回）

当类名命中下列模式时，即使未发现明确 API/注解，也可以输出一条低置信度标记（evidence 说明“基于命名模式”）：
- `*SecurityConfig*`、`*WebSecurityConfigurer*`、`*AuthenticationProvider*`、`*UserDetailsService*`、`*AccessDecision*`
- `*Realm*`、`*ShiroConfig*`、`*ShiroFilter*`
- `*Filter*`、`*AuthFilter*`、`*TokenFilter*`、`*Interceptor*`、`*AuthInterceptor*`、`*Jwt*`、`*TokenProvider*`

输出要求：
1) `marker_type` 与 `framework` 尽量准确；不确定则 `unknown/custom`
2) `evidence.reason` 必须存在，并尽量补充 `annotation`/`api`/`implements_or_extends`
3) 只标记相关性：不要在本阶段判断“是否鉴权生效”
登录后下载/点赞/收藏 ❤ 6 | ★ 0
java-stage1-auth-marker

目录结构

SKILL.md

举报内容

提示
