gava-appsec

Base de AppSec acionável (desenvolvimento seguro) para escrever e revisar código seguro por padrão — em qualquer IDE que leia AGENTS.md (Cursor, GitHub Copilot, Windsurf, Codex, Gemini CLI, Zed, JetBrains).

Baseada em OWASP Top 10:2025 · OWASP ASVS 5.0.0 · API Security Top 10:2023 · CWE Top 25 · NIST SSDF / 800-63B.

npx gava-appsec init

Instala no seu projeto:

AGENTS-appsec.md                              ← instruções de AppSec para o agente
appsec/cheatsheet.md                          ← "estou escrevendo X → cheque Y"
appsec/references/auth-sessao-contas.md       ← login/Argon2id, sessão, OAuth/OIDC
appsec/references/injecoes.md                 ← SQLi, XSS, SSRF, upload, XXE...
appsec/references/controle-acesso.md          ← IDOR/BOLA, multi-tenant, race conditions
appsec/references/rate-limiting.md            ← limites por rota/IP/tenant, 429
appsec/references/cripto-dados-pii.md         ← TLS, AES-GCM, segredos/vault, PII
appsec/references/hardening-headers-cloud.md  ← headers, cookies, CORS, containers/cloud
appsec/references/supply-chain-devsecops.md   ← SCA/SBOM, CI/CD seguro, SAST/DAST
appsec/references/deteccao-resposta.md        ← logging, threat modeling (STRIDE), IR

Opções: npx gava-appsec init --force (sobrescreve) · npx gava-appsec help.

Como usar

Depois do init, peça ao agente da sua IDE, por exemplo:

Escreva o endpoint de login desta API seguindo o AGENTS-appsec.md.

Revise este controller de acesso a banco contra o checklist do AGENTS-appsec.md.

O agente cruza o código com o checklist do domínio relevante (auth, injeções, controle de acesso, cripto, etc.) e aplica o "Faça / Não faça" antes de entregar.

No Claude Code / Cowork

Esta mesma base também está disponível como skill nativa (desenvolvimento-seguro) via marketplace:

/plugin marketplace add VgavaBR123/gava-skills
/plugin install seguranca-plugin@gava-tools

Licença

CC-BY-SA-4.0 — mantido por Gava.