ورثتَ مشروعًا أو كتبته على عجل، وتريد معرفة مواضع ضعفه الأمني قبل نشره. تضع هذه الحزمة في Claude Code أربعة أوامر (slash commands): أحدها يفحص المشروع كله ويرتّب الثغرات حسب خطورتها، وآخر للمكتبات التي يعتمد عليها، واثنان للتنفيذ: تقوية الإعدادات وبناء تسجيل الدخول. وهي إضافة (plugin) لـ Claude Code وحده، بلا نسخة لـ claude.ai أو Codex.
ما يفعله كل أمر
- security-audit: يحدد لغة المشروع وإطاره، ثم يفحص الاعتماديات، والمصادقة وتخزين كلمات المرور، وحقن SQL وXSS ورفع الملفات، والتشفير، والمفاتيح السرية في الكود، والسجلات، وDocker وخط CI/CD، وترويسات الأمان وCORS.
- dependency-audit: ثلاث عشرة خطوة تبدأ من package.json وrequirements.txt وCargo.toml وملفات القفل (lock files)، وتشغّل npm audit أو pip-audit أو cargo audit، ثم تتجاوز الثغرات إلى تراخيص المكتبات (GPL وAGPL مثلًا)، والحزم المهجورة، والحزم المنتحلة بأسماء قريبة من أسماء معروفة (typosquatting)، وتضع خطة تحديث مرتّبة حسب الأولوية مع طريقة للتراجع.
- security-hardening: ينتقل من الفحص إلى التنفيذ: استعلامات بمعاملات (parameterized queries) ضد حقن SQL، وحماية CSRF، وترويسات HSTS وCSP، وملف security.txt لاستقبال بلاغات الثغرات، وتحديد معدّل الطلبات، وفحوص SAST وDAST داخل CI/CD.
- add-authentication-system: لبناء تسجيل الدخول من البداية؛ يوازن بين كلمة المرور وOAuth 2.0 وSAML وJWT والدخول بلا كلمة مرور عبر WebAuthn، ويقترح bcrypt أو Argon2 لتجزئة كلمات المرور، ويغطي الصلاحيات حسب الأدوار (RBAC) والتحقق بخطوتين عبر TOTP وقفل الحساب.
مثال: تقرير أمني قبل الإطلاق
من مجلد المشروع تكتب /commands-security-audit:security-audit دون مدخلات. بحسب تعليماته يتعرّف على التقنيات المستخدمة، ويستعين بأدوات الفحص الآلي حين تتوفر، ثم يسلّم تقريرًا يصنّف كل ملاحظة إلى Critical أو High أو Medium أو Low، مع خطوات الإصلاح ومثال كود واسم الملف، وملخصًا تنفيذيًا بأهم التوصيات. بعدها تختار ما تريد إصلاحه وتعطيه لأمر security-hardening.
ويختلف هذا عن أمر /security-review المدمج في Claude Code، الذي يراجع التغييرات المعلّقة في الفرع الحالي؛ أما security-audit فيمسح المشروع كله، حتى إعداد Docker.
التحميل والتشغيل
- فك الضغط في مجلد ثابت، ثم شغّل من مجلد مشروعك
claude --plugin-dir "PATH/TO/EXTRACTED/plugin"بمسار فك الضغط الفعلي؛ فتُحمَّل الأوامر للجلسة الحالية فقط. - اكتب / لتظهر الأوامر الأربعة، واستدعِ كلًّا منها باسم الإضافة، مثل /commands-security-audit:dependency-audit.
- لتبقى في كل جلسة، انسخ الملفات الأربعة من plugin/commands إلى .claude/commands في المشروع، أو إلى ~/.claude/commands، واستدعها باسمها المختصر مثل /security-audit.
وضعتُ في الحزمة دليلًا عربيًا بطريقة التحميل، وفهرسًا بالملفات.
حدود ينبغي أن تعرفها
- يلزمك Claude Code مسجَّل الدخول، ويُحتسب استخدام النموذج على حسابك. وتأتي npm audit مع npm، أما pip-audit وcargo audit فتثبّتهما بنفسك.
- يقترح security-audit أداة pip check لمشروعات Python، وهي تفحص توافق الحزم المثبتة لا ثغراتها؛ أما فحص ثغراتها فيتولاه dependency-audit عبر pip-audit.
- الأمران security-hardening وadd-authentication-system يعدّلان الكود، ولا يقيّد أي ملف الأدوات المسموح بها (allowed-tools)؛ فاعمل على فرع منفصل، واقرأ كل تعديل قبل قبوله.
- يمتد add-authentication-system إلى SAML وLDAP وتدريب الفريق؛ حدّد لـ Claude ما تحتاجه منه أولًا.
- يذكر security-hardening ترويسة Feature Policy، واسمها اليوم Permissions-Policy.
- التقرير قراءة من النموذج للكود، لا اختبار اختراق.
- النصوص بالإنجليزية كما كتبها أصحابها.
الترخيص: MIT باسم davepoon، والأوامر من مساهمات مجتمع BuildWithClaude في مستودع buildwithclaude، ونص الترخيص مرفق بالحزمة.
