sharp-edges

sharp-edges

Catalogue généré le 2026-05-11

En une phrase

IdentifiesRepère error-proneles APIs,API dangerousou configurations,les andconfigurations footgunqui designsressemblent thatà enabledes security« mistakes.pièges à doigts » : techniquement utilisables, mais conçues d'une manière où l'usage normal mène facilement à une faille de sécurité.

Quand l'utiliser

• UseTu whenconçois reviewingune bibliothèque ou une API designs,publique et tu veux qu'elle soit « sûre par défaut ».

Tu audites une configuration schemas,où cryptographicune libraryoption ergonomics,mal orréglée evaluatingpeut whethertout codefaire follows 'secure by default' and 'pit of success' principles.sauter. Triggers:Tu footgun,utilises misuse-resistant,ou securetu defaults,évalues APIune usability,bibliothèque dangerouscrypto configuration.et tu te demandes si son usage « naturel » est sécurisé. Tu veux comprendre pourquoi des libraires connues (type JWT) ont mauvaise réputation en matière de pièges.

Comment l'invoquer

• Slash command : /sharp-edges (si exposé dans ton CLI).
• Phrases déclencheurs (texte) : voir"footgun", la"misuse-resistant", description"secure complètedefaults", ci-dessous"API usability", "dangerous configuration".
• Auto-invocation : surSur demande expliciteexplicite.

Description complètedétaillée

IdentifiesIl error-proneexiste APIs,deux dangerousphilosophies configurations,pour andconcevoir footgunune designsAPI. thatLa enablepremière security: mistakes.« Useon whenoffre reviewingtoute APIla designs,flexibilité, configurationc'est schemas,au cryptographicdéveloppeur libraryde ergonomics,bien orl'utiliser evaluating». whetherLa codedeuxième follows: 'secure« byon default'rend andle 'chemin sécurisé tellement évident qu'on ne peut pas vraiment se tromper » — c'est le « pit of success'success principles.». Triggers:Ce footgun,skill misuse-resistant,vérifie securesi defaults,une API usability,tombe dangerousdans configuration.la première catégorie (auquel cas elle produira des bugs en masse) ou dans la deuxième.

Concrètement, il chasse plusieurs types de « pièges ». Les pièges de choix d'algorithme : laisser le développeur choisir entre RSA, HMAC, ou pire none (le célèbre piège JWT où un attaquant peut désactiver la vérification de signature). Les valeurs par défaut dangereuses : un timeout par défaut de 0 qui signifie « accepte tout », un mode debug activé par défaut. Les paramètres ambigus : lifetime=0 veut-il dire « immédiat » ou « infini » ? Personne ne sait. Les API qui demandent au développeur de se rappeler de règles spéciales (« n'oublie pas d'appeler verify() après decode() ») au lieu de les imposer automatiquement.

Le skill rejette aussi les excuses classiques : « c'est documenté » (les devs ne lisent pas la doc sous pression), « les utilisateurs avancés ont besoin de flexibilité » (90 % des usages « avancés » sont du copier-coller), « c'est la responsabilité du dev » (non, c'est le designer qui a mis le piège). Il propose à la place des principes : choix sécurisé par défaut, primitives dangereuses cachées derrière une couche haut niveau, configurations dangereuses rejetées à la validation.

Pour aller plus loin

Sharp

Pour Edgesles Analysisdétails

Evaluatestechniques, whetherexemples APIs,et configurations,patterns and interfaces are resistant to developer misuse. Identifies designs where the "easy path" leads to insecurity.

When to Use

Reviewing API or library design decisions Auditing configuration schemas for dangerous options Evaluating cryptographic API ergonomics Assessing authentication/authorization interfaces Reviewing any code that exposes security-relevant choices to developers

When NOT to Use

Implementation bugs (use standard code review) Business logic flaws (use domain-specific analysis) Performance optimization (different concern)

Core Principle

The pit of success: Secure usage should be the path of least resistance. If developers must understand cryptography, read documentation carefully, or remember special rules to avoid vulnerabilities, the API has failed.

Rationalizations to Reject

(extrait —spécifiques, voir le SKILL.md complet pour la suite)original.

Source

• Plugin : trailofbits/sharp-edges
• Nom interne : sharp-edges
• Fichier : /home/thymon/.claude/plugins/cache/trailofbits/sharp-edges/1.0.0/skills/sharp-edges/SKILL.md