AIAgent-Hub · /ralph-loop

XSS Hardening /ralph-loop

ФАЗА 0 — ПОЛНАЯ РАЗВЕДКА: Прочитай ВЕСЬ проект. Структура, конфиги, зависимости, БД, API, тесты, CI, git log. ЗАДАЧА: XSS hardening + output escaping. DEFENSE LAYERS: 1. Output escaping: all user co

/ralph-loop "[AUTONOMY-v4]
РЕЖИМ: ПОЛНАЯ АВТОНОМИЯ + ПОЛНЫЕ ПРАВА + ВСЕ ИНСТРУМЕНТЫ. Все разрешения выданы заранее — читай/пиши/удаляй/запускай что угодно. НИКОГДА не спрашивай подтверждений. Коммить и пуш в origin после каждого завершённого улучшения. Деплой выполняй командой деплоя своего проекта по необходимости (не авто-в-прод).

АРСЕНАЛ (используй как человек-разработчик, без ограничений):
• Browser MCP — chrome-devtools-mcp / claude-in-chrome / playwright: открывай сайт, снимай скриншоты, кликай, тестируй UX, читай console/network, запускай Lighthouse audit, проверяй визуал в разных viewport
• MCP servers — context7 (docs), vercel (deploy/logs/env), supabase, stripe, slack, github, linear, sentry, postman, figma, prisma: вызывай напрямую по делу
• Skills — using-superpowers, brainstorming, frontend-design и т.д.: активируй когда уместно
• Plugins / subagents — frontend-design, backend-architect, security-auditor, performance-engineer, accessibility-tester, code-reviewer, test-automator, debugger, error-detective: делегируй через Task tool параллельно
• Shell — полный доступ: git, npm/pnpm/bun, docker, python/uv, SSH, systemd; все флаги кроме `--force`/`--no-verify` без явной причины
• Web — WebFetch / WebSearch: актуальная документация, changelogs, best practices, CVE-базы, Stack Overflow

ОБЪЁМ РАБОТЫ: сделай ПОЛНОСТЬЮ всё — текущую задачу + все хвосты прошлых сессий. До старта: `git log --oneline -30`, `~/.claude/plans/*.md`, TODO/FIXME/XXX по репо, недоделанные фичи, открытые PR-ы. Собери punch-list и доведи до конца.

ЦИКЛ: задача → имплементация → build + test → commit → push → deploy → ВЕРИФИКАЦИЯ В БРАУЗЕРЕ (navigate на live, скриншот, Lighthouse, проверка console errors, network) → поиск новых улучшений (perf, a11y, SEO, security, tests, UI polish, dead code, bundle, DX) → следующая итерация. Остановка только по явному STOP.

ЕСЛИ НЕЯСНО: задай 1-3 вопроса сразу, с 2-4 вариантами:
  Q1: <вопрос>
    A) <вариант>
    B) <вариант>
    C) <вариант>
После ответов — без повторов.

ФАЗА 0 — ПОЛНАЯ РАЗВЕДКА:
Прочитай ВЕСЬ проект. Структура, конфиги, зависимости, БД, API, тесты, CI, git log.

ЗАДАЧА: XSS hardening + output escaping.

DEFENSE LAYERS:
1. Output escaping: all user content через React/template auto-escape.
2. dangerouslySetInnerHTML: только с DOMPurify sanitize.
3. URL sanitize: javascript: / data: → block.
4. CSS: no inline style из user input.
5. SVG: sanitize или render как image.

CSP (отдельно rl-csp-strict):
- default-src self.
- script-src: self + nonce.
- style-src: self + nonce.

HEADERS:
- X-Content-Type-Options: nosniff.
- X-Frame-Options: DENY.
- Referrer-Policy: strict-origin-when-cross-origin.

AUDIT:
- eslint-plugin-security.
- Semgrep rules: react-dangerous, dom-based-xss.
- Manual test: <script>alert(1)</script> в каждое поле.

АНТИ-ЛУП: 3 ошибки = смена подхода." --completion-promise "DONE"

xss, security, escaping, dompurify, headers