Una skill /revisar para Claude Code que encontró un bypass de auth, una inyección SQL y un secreto en logs (SKILL.md completo)

Las skills de Claude Code son archivos Markdown que le enseñan a Claude un procedimiento repetible. Se guardan en.claude/skills/<nombre>/SKILL.md y se llaman con /<nombre>, o Claude las usa sola cuando tu pedido coincide con su description.

Esta es la skill de revisión de código que uso a diario, completa y gratis para copiar.

Guárdala como.claude/skills/revisar/SKILL.md en tu repo (o en ~/.claude/skills/revisar/SKILL.md para tenerla en todos):

--- name: revisar description: " Revisa el diff actual (o una rama) buscando bugs, problemas de seguridad y deuda, y entrega hallazgos priorizados. Úsala cuando el usuario pida \" revisa \", \" code review \" o \" qué opinas de estos cambios \"." --- # Revisión de código 1. Obtén el diff: `git diff` + `git diff --staged`, o `git diff <base>...HEAD` si el usuario nombra una rama. 2.

Lee el contexto necesario de cada archivo tocado (no solo las líneas del diff). 3. Busca, en este orden: 1. **Correctitud**: casos borde, null/undefined, async sin `await`, condiciones de carrera, off-by-one, manejo de errores que traga excepciones.

2. **Seguridad**: inyección (SQL, comandos, XSS), secretos en código, validación de entrada, autorización faltante en resolvers/endpoints, datos sensibles en logs. 3. **Datos y API**: migraciones irreversibles, cambios incompatibles de contrato (REST/GraphQL), N+1 en resolvers. 4. **Rendimiento**: renders innecesarios en React, efectos sin dependencias correctas, consultas en bucles.

5. **Mantenibilidad**: duplicación, nombres confusos, código muerto, tests faltantes para la lógica nueva. 4. Entrega una tabla ordenada por severidad: | Sev. | Archivo:línea | Problema | Sugerencia | |------|---------------|----------|------------| | 🔴 alta / 🟡 media / ⚪ menor |... |... |... | 5.

Solo reporta lo que puedas justificar con un escenario concreto. Si no encuentras nada serio, dilo. No apliques cambios salvo que el usuario lo pida.

Enter fullscreen mode Exit fullscreen mode Tres detalles la hacen mejor que escribir "revisa mi código":

Armé un repo de prueba con un refactor de autenticación que mete tres fallos a propósito: un bypass de auth, el secreto JWT impreso en los logs y una inyección SQL. Lo pasé por la versión en inglés de esta misma skill (mismo contenido, traducido) en Claude Code 2.1.293.

Resultado: encontró los tres fallos, los puso primero como 🔴 alta, explicó para cada uno cómo se explota (por ejemplo, que Authorization: Bearer basura pasaba el middleware porque req.user = null seguía llamando a next() ) y propuso el arreglo concreto ( return res.status(401) antes de next(), consulta parametrizada con $1, borrar el console.log del secreto). No tocó el código, porque la skill dice que no lo haga salvo que se lo pidas.

Si te sirve, el Kit de Claude Code en español (US$9, no oficial) trae 5 skills más en el mismo estilo ( /commit, /pr, /tests, /plan, /depurar ), hooks de seguridad que bloquean rm -rf, force-push y secretos filtrados (con 27 tests), plantillas de CLAUDE.md para React, Node y GraphQL, y presets de permisos: https://luijhy.gumroad.com/l/kit-claude-code-es

Los hooks de seguridad solos están gratis aquí: https://github.com/kailucho/claude-code-hooks-seguridad