security-auditlisted

# Security audit Encuentra vulnerabilidades que un atacante pueda explotar de verdad y demuéstralo con la ruta de ataque. Un informe con veinte "posibles riesgos" sin verificar hace perder más tiempo del que ahorra: prima la precisión sobre el volumen. Esta skill es para auditar código propio o autorizado. Las pruebas de concepto se describen o se limitan a peticiones mínimas contra un entorno local; nunca se lanzan contra producción ni contra sistemas de terceros. ## Modo Según el argumento: - Sin argumento → **repo completo**. - `diff [rama-base]` → **solo cambios**: `git diff <base>...HEAD` más lo no commiteado. Base por defecto: la rama principal (`git symbolic-ref refs/remotes/origin/HEAD`, o `main`/`master`). Audita lo cambiado, pero sigue el flujo hacia el código sin cambios: un cambio puede volver alcanzable un fallo antiguo o quitar una protección. - Una ruta → solo esa carpeta o archivo, más lo que necesites para entender su contexto. No modifiques código durante la auditoría. Los fixes vienen después y solo los que apruebe el usuario. ## 1. Reconocimiento Antes de buscar fallos, entiende qué hay que proteger y por dónde se entra. Resúmelo en pocas líneas al principio del informe. - **Stack**: lee `package.json`, `wrangler.toml`/`wrangler.jsonc`, `next.config.*` y similares. Lee **solo** las guías de `references/` que apliquen: - Node/TS, Express, Fastify, APIs → `references/node-api.md` - MongoDB/Mongoose → `references/mongodb.md` - Cloudflare Worker