java-auth-audit

name: java-auth-audit description: 当用户要求审计 Java Web 认证、授权、路由鉴权覆盖、Filter/Interceptor/Shiro/Spring Security/JWT/Session 规则、鉴权绕过、权限提升、IDOR 或水平/垂直越权时使用；只做路由提取、依赖 CVE、SQL/XXE/上传/文件读取/反序列化、Cookie 加固或通用安全基线时不要使用。

Java Auth Audit

当前定位

java-auth-audit 判断 Java Web 项目的入口是否被正确认证、授权是否可绕过、对象访问是否越权。它可以消费 java-route-mapper 的路由清单，也可以在没有上游输出时独立扫描配置、Controller/Action/Servlet/WebService 和鉴权类，但必须说明覆盖限制。

本 skill 不做全量路由提取、不做组件 CVE 扫描、不把 Cookie 属性、session timeout、密码策略、CSRF/CORS、global-allowed-methods 等加固项包装成漏洞结论。确认漏洞或条件成立的认证/授权风险必须能给开发单位复核：真实入口、证据链、Burp Suite 请求、payload/角色/对象变体和限制说明都要完整。

触发条件

• 用户要求审计认证、授权、登录绕过、未授权访问、权限提升、IDOR、水平/垂直越权。
• 用户要求判断路由是公开、仅认证、受保护、无鉴权还是不确定。
• 用户要求分析 Shiro、Spring Security、JWT、Session、Filter、Interceptor、方法注解、自定义权限逻辑。
• 用户提供 route mapper 输出，要求生成路由-鉴权映射。

不触发条件

• 只提取路由和参数：交给 java-route-mapper。
• 只查依赖版本、CVE、修复版本或组件升级：交给 java-vuln-scanner。
• SQL 注入、XXE、上传、文件读取、反序列化：交给对应专项 skill。
• 只追踪参数到 sink、不判断认证/授权：交给 java-route-tracer 或专项 skill。
• Cookie 属性、明文记住密码、session timeout、CSRF/CORS、限流、日志审计、密码策略：默认写 README 加固建议；除非它们直接造成认证绕过、授权绕过或对象越权。

成功标准

• 识别完整鉴权链路：网关/Filter/Interceptor/框架配置/方法注解/业务权限/对象归属校验。
• 每条已知路由都有鉴权状态和证据位置；没有 route mapper 时说明覆盖限制。
• 风险结论只基于完整证据链：入口可达、鉴权缺口、后续拦截缺失、敏感影响或对象归属校验缺失。
• 确认漏洞 和 条件成立 项包含可复核 Burp Suite 请求与 payload/角色/对象变体；待验证、不可确认、非漏洞 不输出可复制请求。
• 输出三文件互链，且不包含 CVE、CVSS、修复版本、输出自检、技能源校验、Claude 运行状态或测试提示词。
• 所有数量、文件数、白名单条数、端点数、类数、时长和容量必须是精确可复核值；不得写 约、~、大约、20+、50+ 或尾随加号。无法精确统计时写 未精确统计 或 不可确认。

输入和输出

优先读取 route_mapper/ 主索引和模块详情。缺失时可以独立扫描，但必须在 README 标注“未使用 route mapper，路由覆盖可能不完整”。

必须输出三份文件：

• {project_name}_auth_audit_{YYYYMMDD_HHMMSS}.md
• {project_name}_auth_mapping_{YYYYMMDD_HHMMSS}.md
• {project_name}_auth_README_{YYYYMMDD_HHMMSS}.md

文件名必须包含完整 YYYYMMDD_HHMMSS。主报告只写确认漏洞/条件成立风险详情；映射表写路由鉴权状态；README 写方法、范围、局限、待验证项和加固建议。

工作流

1. 确认源码路径、输出目录、是否存在 route mapper 输出。
2. 扫描入口：web.xml、struts*.xml、Spring MVC 配置、jaxws:endpoint、Controller/Action/Servlet/Filter/Listener、注解、JSP/静态映射。
3. 串联鉴权链路：Filter、Interceptor、框架配置、方法注解、业务权限和对象归属校验。
4. 建立路由鉴权映射：公开、受保护、仅认证、无鉴权、待验证、不可确认、非漏洞。
5. 只对完整证据链风险写主报告；证据缺口写映射表/README，不写 Burp 请求。
6. 确认/条件成立项读取 references/VALIDATION_MATERIALS.md，生成 Burp Suite 请求和 payload/角色/对象变体。
7. 生成三文件后，可运行仓库级维护脚本 tools/skill-maintenance/validators/validate_auth_output.py <输出目录> 做硬边界检查，再人工检查风险证据。

按需读取的 references

• Shiro：references/SHIRO.md
• Spring Security：references/SPRING_SECURITY.md
• JWT：references/JWT.md
• Filter/Interceptor：references/FILTER_INTERCEPTOR.md
• 注解式鉴权：references/ANNOTATION_AUTH.md
• Session/Cookie：references/SESSION_AUTH.md
• 路径和协议绕过：references/BYPASS_PATTERNS.md、references/URI_PARSING_BYPASS.md
• 组件版本边界：references/VERSION_VULNS.md
• 反编译策略：references/DECOMPILE_STRATEGY.md
• 验证材料和 payload：references/VALIDATION_MATERIALS.md
• 交付检查：references/VULNERABILITY_CHECKLIST.md
• 输出模板：references/OUTPUT_TEMPLATE_MAIN.md、references/OUTPUT_TEMPLATE_MAPPING.md、references/OUTPUT_TEMPLATE_README.md

不要为本 skill 读取 ../java-shared/OUTPUT_STANDARD.md 或 ../java-shared/SEVERITY_RATING.md 生成报告；它们的旧 CVSS/自检结构与本 skill 新版模板冲突。

Hard Rules

1. 完整链路优先

不要只看一层。必须判断请求是否经过网关/Filter/Interceptor/Shiro/Spring Security/JWT/注解/业务代码/对象归属校验。绕过单层后若还有后续有效拦截，不得写成漏洞。

2. 状态定义

• 确认漏洞：静态代码证据或授权测试证据完整，入口、鉴权缺口、后续拦截缺失和影响均成立。
• 条件成立：代码证据完整，只剩明确外部条件，例如部署路径、网络暴露面、角色/对象数据或配置开关；不得用来承载“内部实现未知”。
• 待验证：存在候选模式，但缺方法体、父类/AOP、运行时映射、角色或对象归属证据。
• 不可确认：关键源码/配置/反编译结果缺失，无法判断。
• 非漏洞：已确认有有效认证、授权或对象归属校验，或入口不可达/应公开且无敏感影响。

3. 主报告升格门槛

确认漏洞 和 条件成立 项必须同时具备：

• 真实 HTTP/SOAP/RPC 入口和方法。
• 证据位置：配置、源码、反编译文件或 class/JAR 来源。
• 鉴权链路和后续拦截层结论。
• 敏感影响，或对象归属/角色校验缺失证据。
• Burp Suite 请求、payload/角色/对象变体、授权验证说明和修复建议。

出现 需反编译、未反编译、待补证、内部实现未知、后续拦截未知、BaseController/AOP 是否鉴权未知、可能、候选、无法确认 时，不能写进主报告风险详情。

条件成立 只允许承载外部条件已经明确的风险，例如部署路径、网络暴露面、测试账号角色、对象数据或配置开关。它不是“待验证”的替代状态；如果风险成立依赖某个未反编译类、父类、AOP、Interceptor、Filter、网关或运行时路由的内部实现，必须写为 待验证 或 不可确认，并放入映射表/README。

4. Burp 和 Payload 边界

• 只有确认漏洞和条件成立项输出 Burp Suite 请求与 payload/变体。
• Burp 请求必须来自真实路由、HTTP 方法、参数名、Content-Type、Cookie/Token/CSRF 位置；不能按类名或方法名猜路径。
• 请求中的 Cookie、JWT、CSRF、用户 ID、对象 ID、租户 ID 使用占位符。
• 不输出真实凭据、真实用户数据、生产环境请求、批量利用脚本、暴力枚举或破坏性操作。
• payload 只验证当前风险，不夹带尚未证实的 IDOR、方法绕过、路径绕过或批量遍历变体。

5. 组件和加固项边界

• 组件版本、CVE、CVSS、修复版本交给 java-vuln-scanner，auth 报告最多写“建议交给组件扫描专项复核”。
• 明文记住密码、Cookie 属性、session timeout、CSRF/CORS、限流、日志审计、密码策略、global-allowed-methods regex:.* 默认放 README 加固建议。
• 只有这些问题直接导致登录绕过、授权绕过、会话固定可被攻击者设置并复用，或对象越权时，才按 auth 风险处理。
• 明文密码 Cookie、浏览器“记住密码”、Cookie 缺 HttpOnly/Secure/SameSite 不能作为主报告风险；除非 Cookie 本身就是服务端认可的登录态且可被攻击者伪造/复用绕过认证。

6. 分组规则

同一 AUTH 编号只能合并同根因、同证据等级、同修复点的入口。已反编译确认入口和未反编译/待补证入口必须拆开；后者放映射表或 README。

REST Controller 继承父类、Servlet 入口只定位到 class 文件、自定义 Servlet/Filter/Interceptor 只有类名但没有方法体时，必须先反编译父类或目标类。未反编译前不得把该入口写入主报告，也不得和已确认入口合并。

Gotchas

• permitAll、anon、登录页、健康检查和静态资源不是天然漏洞；先判断敏感性。
• authenticated() 只代表登录，不代表角色/对象权限。
• Filter mapping 不覆盖某路径，不等于目标 Servlet/Controller 内部无鉴权。
• Spring MVC REST 要确认 HandlerInterceptor、AOP、父类和注解是否生效。
• Shiro/Spring Security 路径匹配器与 MVC/Servlet 解析不一致时，才有路径绕过价值。
• 有 {id}、userId、orderId 不等于 IDOR；必须查 owner/tenant/currentUser 校验。
• 方法级注解可能因内部调用/AOP 代理失效。
• 反编译证据要标注来源；反编译失败只说明待验证，不是漏洞。

Evals

正例

反例

边界例和失败案例