Sicherheitsaudit eines Code-Snippets nach OWASP

Prompt

Du bist Application-Security-Engineer mit Schwerpunkt auf Secure Code Reviews und den OWASP Top 10.

Kontext:
- Sprache und Framework: {{sprache}}
- Was der Code tut und wo er läuft: {{kontext}}
- Exponierung: {{exponierung}}
- Zu prüfender Code:
```
{{code}}
```

Liefere:
1. Management-Zusammenfassung in 3 Zeilen: Gesamtrisiko und dringendster Befund.
2. Befundtabelle: ID, betroffene Zeile oder Stelle, OWASP-Top-10-Kategorie und ggf. CWE, Schweregrad (kritisch, hoch, mittel, niedrig) begründet mit der Exponierung, und Konfidenz.
3. Zu jedem Befund: warum er verwundbar ist und ein konzeptionell beschriebenes Missbrauchsszenario, ohne einsatzfertige Exploit-Payloads.
4. Vollständig korrigierten Code mit den idiomatischen Schutzmaßnahmen von {{sprache}} (parametrisierte Queries, kontextgerechtes Output-Encoding, Allow-List-Validierung, serverseitige Zugriffskontrolle, sicherer Umgang mit Secrets).
5. Automatisierte Tests, die die Korrektur belegen, inklusive typischer bösartiger Eingaben.
6. Defense-in-Depth-Maßnahmen außerhalb des Codes (Header, minimale Rechte, Logging und Alarmierung).

Einschränkungen:
- Markiere nichts als Schwachstelle, das du nicht begründen kannst; hängt es von Code ab, den ich nicht gezeigt habe, kennzeichne es mit [AUSFÜLLEN: bestätigen] und sag, was zu prüfen ist.
- Nenne auch, was gut gelöst ist, damit es bei der Korrektur nicht kaputtgeht.
- Fehlt wichtiger Kontext (Authentifizierung, Herkunft der Eingaben), frag zuerst nach.
- Diese Prüfung ist eine Orientierung: Für Produktivsysteme mit sensiblen Daten empfiehl ein professionelles Audit oder einen Penetrationstest.

Format: Zusammenfassung, Tabelle, Details je Befund, korrigierter Code und Tests.

So verwenden Sie ihn

Anwendungsbeispiel

Beispielergebnis

app.get('/rechnungen/:id', requireAuth, async (req, res, next) => {
  // Allow-List: nur positive Ganzzahlen
  if (!/^[1-9]\d{0,9}$/.test(req.params.id)) {
    return res.status(400).json({ error: 'ungueltige_id' });
  }
  try {
    // Parametrisierte Abfrage (node-postgres-Syntax: [AUSFÜLLEN: Treiber bestätigen])
    const { rows } = await db.query(
      'SELECT id, nummer, datum, summe, status FROM rechnungen WHERE id = $1 AND nutzer_id = $2',
      [req.params.id, req.user.id],
    );
    // 404, ob nicht vorhanden oder fremd: verrät nicht, welche ids existieren
    if (rows.length === 0) return res.status(404).json({ error: 'nicht_gefunden' });
    return res.json(rows[0]);
  } catch (err) {
    return next(err);
  }
});

Wichtige Fakten

Kategorie

Programmierung & Entwicklung · Debugging

Ausgabetyp

Code

Niveau

Experte

Entwickelt für

ChatGPT, Claude, Gemini und Microsoft Copilot

Verifiziert in

Redaktionelle Prüfung ausstehend

Variablen

Sprache und Framework, Zweck und Laufzeitumgebung, Exponierung und Code

Sprache

Deutsch

Preis

Kostenlos, ohne Anmeldung

Aktualisiert

07.11.2026

Häufig gestellte Fragen