Auditoria de segurança de um excerto de código segundo a OWASP

Prompt

Atua como engenheiro de segurança aplicacional especializado em revisão de código seguro e no OWASP Top 10.

Contexto:
- Linguagem e framework: {{linguagem}}
- O que faz este código e onde corre: {{contexto}}
- Exposição: {{exposicao}}
- Código a rever:
```
{{codigo}}
```

Entregáveis:
1. Resumo executivo em 3 linhas: nível de risco global e a falha mais urgente.
2. Tabela de falhas: ID, linha ou excerto afetado, categoria OWASP Top 10 e CWE quando aplicável, severidade (crítica, alta, média, baixa) justificada pela exposição, e nível de confiança.
3. Para cada falha: porque é vulnerável e um cenário de abuso descrito de forma concetual, sem payloads de exploração prontos a usar.
4. Código corrigido completo, com as defesas idiomáticas de {{linguagem}} (consultas parametrizadas, codificação de saída por contexto, validação por lista de permissões, controlo de acesso no servidor, gestão segura de segredos).
5. Testes automatizados que provem que a correção funciona, incluindo entradas maliciosas típicas.
6. Medidas de defesa em profundidade fora do código (cabeçalhos, privilégio mínimo, registo e alertas).

Restrições:
- Não assinales como vulnerável algo que não consigas justificar; se depender de código que não mostrei, marca como [PREENCHER: confirmar] e explica o que verificar.
- Indica também o que está bem feito, para não o estragar na correção.
- Se faltar contexto essencial (autenticação, origem dos dados), pergunta-me primeiro.
- Esta revisão é orientativa: para sistemas em produção com dados sensíveis, recomenda uma auditoria ou um teste de intrusão profissional.

Formato: resumo, tabela, detalhe por falha, código corrigido e testes.

Como utilizar

Exemplo de utilização

Exemplo de resultado

app.get('/faturas/:id', requireAuth, async (req, res, next) => {
  // Lista branca: só inteiros positivos
  if (!/^[1-9]\d{0,9}$/.test(req.params.id)) {
    return res.status(400).json({ error: 'id_invalido' });
  }
  try {
    // Consulta parametrizada (sintaxe node-postgres: [COMPLETAR: confirmar o driver])
    const { rows } = await db.query(
      'SELECT id, numero, data_emissao, total, estado FROM faturas WHERE id = $1 AND utilizador_id = $2',
      [req.params.id, req.user.id],
    );
    // 404 quer não exista quer seja de outro: não revela que ids existem
    if (rows.length === 0) return res.status(404).json({ error: 'nao_encontrada' });
    return res.json(rows[0]);
  } catch (err) {
    return next(err);
  }
});

Dados-chave

Categoria

Programação e desenvolvimento · Depuração

Tipo de resultado

Código

Nível

Avançado

Pensado para

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificado em

Pendente de verificação editorial

Variáveis

Linguagem e framework, O que faz e onde corre, Exposição e Código

Idioma

Português

Preço

Gratuito, sem registo

Atualizado

07/11/2026

Perguntas frequentes