L'IA aide bien à faire une première passe de revue sécurité si on lui demande des choses concrètes : validations d'entrée, injections, authentification, sessions, secrets, données sensibles, fichiers uploadés, contrôles d'accès et messages d'erreur. Elle ne remplace pas un audit complet, mais elle accélère beaucoup la qualification des risques visibles.
Analyse ce code comme un auditeur sécurité applicative. Recherche en priorité : - injections ; - validations insuffisantes ; - secrets exposés ; - contrôles d'accès absents ; - fuites d'informations. Format : 1) Risques critiques 2) Risques modérés 3) Corrections recommandées 4) Vérifications restantes
Analyse cette API sous l'angle sécurité. Vérifier : - authentification ; - autorisation ; - gestion des tokens ou sessions ; - exposition des erreurs ; - validation des entrées ; - données sensibles en sortie.
Revois ce formulaire ou ce module d'upload. Attendu : - contrôles d'entrée ; - types et tailles autorisés ; - risques de fichier malveillant ; - stockage ; - erreurs exposées à l'utilisateur.
Rédige une synthèse sécurité pour ce module. Format : 1) Surface d'attaque 2) Risques visibles 3) Priorités de correction 4) Recommandations de validation
Cette page est directement utile pour relire les points d'entrée PHP de get-fiche.php, save-fiche.php, get-sujet.php et save-sujet.php avec un angle validation, contrôle d'accès, messages d'erreur et exposition de données.
Elle fait aussi un bon tandem avec REST / JWT partie 1, partie 2 et partie 3 pour croiser sécurité d'API, authentification et bonnes pratiques de revue.
Réalise un threat model de [SYSTÈME] à partir de ses composants, frontières de confiance, acteurs, données sensibles et flux. Utilise STRIDE comme grille de recherche, pas comme conclusion automatique. Pour chaque menace : scénario, prérequis, impact, contrôles existants, preuve à rechercher, mesure proposée et risque résiduel. Classe les priorités en expliquant probabilité et gravité.
Audite ce périmètre selon les catégories OWASP pertinentes : [PÉRIMÈTRE]. Vérifie authentification, session, autorisations, entrées, sorties, secrets, dépendances, configuration, journalisation et erreurs. Ne déclare une vulnérabilité confirmée qu'avec une preuve dans le code ou un test reproductible. Sépare constat, hypothèse et recommandation.
Une checklist facilite la couverture, mais ne remplace ni l'analyse du contexte métier, ni un test autorisé, ni la validation d'un spécialiste pour les systèmes sensibles.
Pour les prompts de revue générale, voir les prompts développement. Pour les sujets Oracle et accès aux données, voir la page Oracle. Pour les APIs et choix techniques plus larges, voir les prompts architecture. Pour débuter avec des demandes courtes, voir les prompts pour débutants. Pour mieux reformuler un besoin de revue, voir les exemples avant / après. Pour les cadres de départ rapides, voir les squelettes de prompts.