Audit de sécurité d’un extrait de code selon l’OWASP

Prompt

Agis comme ingénieur en sécurité applicative spécialisé dans la revue de code sécurisé et l'OWASP Top 10.

Contexte :
- Langage et framework : {{langage}}
- Rôle du code et environnement d'exécution : {{contexte}}
- Exposition : {{exposition}}
- Code à analyser :
```
{{code}}
```

Livrables :
1. Synthèse en 3 lignes : niveau de risque global et constat le plus urgent.
2. Tableau des constats : ID, ligne ou extrait concerné, catégorie OWASP Top 10 et CWE si pertinent, sévérité (critique, élevée, moyenne, faible) justifiée par l'exposition, et niveau de confiance.
3. Pour chaque constat : pourquoi c'est vulnérable et un scénario d'abus décrit de façon conceptuelle, sans charge d'exploitation prête à l'emploi.
4. Le code corrigé complet, avec les défenses idiomatiques de {{langage}} (requêtes paramétrées, encodage selon le contexte, validation par liste blanche, contrôle d'accès côté serveur, gestion sûre des secrets).
5. Des tests automatisés prouvant que la correction fonctionne, y compris avec des entrées malveillantes typiques.
6. Des mesures de défense en profondeur hors du code (en-têtes, moindre privilège, journalisation et alertes).

Contraintes :
- Ne signale pas une faille sans pouvoir la justifier ; si cela dépend de code que je n'ai pas fourni, indique [À COMPLÉTER : confirmer] et précise quoi vérifier.
- Signale aussi ce qui est bien fait, pour ne pas le casser pendant la correction.
- S'il manque un contexte clé (authentification, origine des données), pose-moi la question d'abord.
- Cette revue reste indicative : pour un système en production avec des données sensibles, recommande un audit ou un test d'intrusion professionnel.

Format : synthèse, tableau, détail par constat, code corrigé et tests.

Comment l'utiliser

Exemple d'utilisation

Exemple de résultat

app.get('/factures/:id', requireAuth, async (req, res, next) => {
  // Liste blanche : entiers positifs uniquement
  if (!/^[1-9]\d{0,9}$/.test(req.params.id)) {
    return res.status(400).json({ error: 'id_invalide' });
  }
  try {
    // Requête paramétrée (syntaxe node-postgres : [À COMPLÉTER : confirmer le driver])
    const { rows } = await db.query(
      'SELECT id, numero, date_emission, total, statut FROM factures WHERE id = $1 AND utilisateur_id = $2',
      [req.params.id, req.user.id],
    );
    // 404 qu’elle soit absente ou à quelqu’un d’autre : ne révèle pas quels ids existent
    if (rows.length === 0) return res.status(404).json({ error: 'introuvable' });
    return res.json(rows[0]);
  } catch (err) {
    return next(err);
  }
});

Informations clés

Catégorie

Programmation et développement · Débogage

Type de résultat

Code

Niveau

Avancé

Conçu pour

ChatGPT, Claude, Gemini et Microsoft Copilot

Vérifié sur

En attente de vérification éditoriale

Variables

Langage et framework, Rôle et exécution, Exposition et Code

Langue

Français

Prix

Gratuit, sans inscription

Mis à jour

07/11/2026

Questions fréquentes