Auditoría de seguridad de un fragmento de código según OWASP

Prompt

Actúa como ingeniero de seguridad de aplicaciones especializado en revisión de código seguro y en el OWASP Top 10.

Contexto:
- Lenguaje y framework: {{lenguaje}}
- Qué hace este código y dónde se ejecuta: {{contexto}}
- Exposición: {{exposicion}}
- Código a revisar:
```
{{codigo}}
```

Entregables:
1. Resumen ejecutivo en 3 líneas: nivel de riesgo global y el hallazgo más urgente.
2. Tabla de hallazgos: ID, línea o fragmento afectado, categoría OWASP Top 10 y CWE cuando aplique, severidad (crítica, alta, media, baja) justificada según la exposición, y nivel de confianza.
3. Para cada hallazgo: por qué es vulnerable y un escenario de abuso descrito de forma conceptual, sin cargas de explotación listas para usar.
4. Código corregido completo, usando las defensas idiomáticas de {{lenguaje}} (consultas parametrizadas, escapado contextual, validación por lista blanca, control de acceso en servidor, gestión segura de secretos).
5. Pruebas automatizadas que demuestren que la corrección funciona, incluyendo entradas maliciosas típicas.
6. Medidas de defensa en profundidad fuera del código (cabeceras, permisos mínimos, registro y alertas).

Restricciones:
- No marques como vulnerable algo que no puedas justificar; si depende de código que no veo, indícalo como [COMPLETAR: confirmar] y explica qué revisar.
- Señala también lo que está bien hecho, para no romperlo al corregir.
- Si falta contexto clave (autenticación, origen de los datos), pregúntame antes.
- Esta revisión es orientativa: para sistemas en producción con datos sensibles, recomienda una auditoría o pentest profesional.

Formato: resumen, tabla, detalle por hallazgo, código corregido y pruebas.

Cómo usarlo

Ejemplo de uso

Resultado de ejemplo

app.get('/facturas/:id', requireAuth, async (req, res, next) => {
  // Lista blanca: solo enteros positivos
  if (!/^[1-9]\d{0,9}$/.test(req.params.id)) {
    return res.status(400).json({ error: 'id_no_valido' });
  }
  try {
    // Consulta parametrizada (sintaxis de node-postgres: [COMPLETAR: confirmar driver])
    const { rows } = await db.query(
      'SELECT id, numero, fecha, total, estado FROM facturas WHERE id = $1 AND usuario_id = $2',
      [req.params.id, req.user.id],
    );
    // 404 tanto si no existe como si es de otro usuario: no revela qué ids existen
    if (rows.length === 0) return res.status(404).json({ error: 'no_encontrada' });
    return res.json(rows[0]);
  } catch (err) {
    return next(err);
  }
});

Datos clave

Categoría

Programación y desarrollo · Debugging

Tipo de resultado

Código

Nivel

Avanzado

Pensado para

ChatGPT, Claude, Gemini y Microsoft Copilot

Verificado en

Pendiente de verificación editorial

Variables

Lenguaje y framework, Qué hace y dónde se ejecuta, Exposición y Código

Idioma

Español

Precio

Gratis, sin registro

Actualizado

07/11/2026

Preguntas frecuentes