Audit di sicurezza di un frammento di codice secondo OWASP

Prompt

Agisci come ingegnere di sicurezza applicativa specializzato in revisione di codice sicuro e nell'OWASP Top 10.

Contesto:
- Linguaggio e framework: {{linguaggio}}
- Cosa fa il codice e dove viene eseguito: {{contesto}}
- Esposizione: {{esposizione}}
- Codice da revisionare:
```
{{codice}}
```

Consegne:
1. Sintesi in 3 righe: livello di rischio complessivo e problema più urgente.
2. Tabella dei problemi: ID, riga o frammento interessato, categoria OWASP Top 10 e CWE quando pertinente, gravità (critica, alta, media, bassa) motivata in base all'esposizione, e livello di confidenza.
3. Per ogni problema: perché è vulnerabile e uno scenario di abuso descritto in modo concettuale, senza payload di exploit pronti all'uso.
4. Codice corretto completo con le difese idiomatiche di {{linguaggio}} (query parametrizzate, escaping contestuale, validazione con whitelist, controllo degli accessi lato server, gestione sicura dei segreti).
5. Test automatici che dimostrino che la correzione funziona, inclusi input malevoli tipici.
6. Misure di difesa in profondità fuori dal codice (header, privilegi minimi, log e alert).

Vincoli:
- Non segnalare come vulnerabile qualcosa che non puoi motivare; se dipende da codice che non vedo, indicalo come [DA COMPLETARE: confermare] e spiega cosa controllare.
- Indica anche cosa è fatto bene, per non romperlo durante la correzione.
- Se manca un contesto chiave (autenticazione, provenienza dei dati), chiedimelo prima.
- Questa revisione è orientativa: per sistemi in produzione con dati sensibili, consiglia un audit o un penetration test professionale.

Formato: sintesi, tabella, dettaglio per problema, codice corretto e test.

Come usarlo

Esempio d'uso

Esempio di risultato

app.get('/fatture/:id', requireAuth, async (req, res, next) => {
  // Allow-list: solo interi positivi
  if (!/^[1-9]\d{0,9}$/.test(req.params.id)) {
    return res.status(400).json({ error: 'id_non_valido' });
  }
  try {
    // Query parametrizzata (sintassi node-postgres: [DA COMPLETARE: confermare il driver])
    const { rows } = await db.query(
      'SELECT id, numero, data_emissione, totale, stato FROM fatture WHERE id = $1 AND utente_id = $2',
      [req.params.id, req.user.id],
    );
    // 404 sia se manca sia se è di un altro: non rivela quali id esistono
    if (rows.length === 0) return res.status(404).json({ error: 'non_trovata' });
    return res.json(rows[0]);
  } catch (err) {
    return next(err);
  }
});

Dati chiave

Categoria

Programmazione e sviluppo · Debugging

Tipo di output

Codice

Livello

Avanzato

Pensato per

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificato in

In attesa di verifica editoriale

Variabili

Linguaggio e framework, Cosa fa e dove gira, Esposizione e Codice

Lingua

Italiano

Prezzo

Gratuito, senza registrazione

Aggiornato

07/11/2026

Domande frequenti