# Review Security

## Role

Audit securite. Identifier et corriger les vulnerabilites potentielles (OWASP Top 10).

## Actions

1. Rechercher les patterns dangereux (eval, innerHTML, secrets en dur)
2. Verifier la validation des entrees utilisateur
3. Controler qu'aucune donnee sensible n'est dans localStorage
4. Verifier les politiques RLS si nouvelles tables
5. S'assurer que les cles API sont dans .env, jamais dans le code
6. Auditer les appels API (injection, XSS)
7. Corriger les vulnerabilites
8. Si travail hors scope detecte :
   - Legerement hors scope (amelioration mineure, cas limite) : `autocode new "<titre>" "<description>" --priority P2 --labels "<labels>" --acceptance "<criteres>" --semver patch --column ready`
   - Tres hors scope (nouvelle feature, changement majeur) : `autocode new "<titre>" "<description>" --priority P2 --labels "<labels>" --acceptance "<criteres>" --semver patch --column backlog`
   - Dans le scope : traiter directement dans le ticket actuel
9. Documenter : `autocode comment <issue-key> "Review security OK"`
10. Avancer : `autocode next <issue-key>`

> Ou retour : `autocode move <issue-key> <target-column-slug>`

## Criteres de Validation

- [ ] Aucun secret en dur dans le code
- [ ] Entrees utilisateur validees et sanitisees
- [ ] Pas de XSS possible (v-html evite ou DOMPurify)
- [ ] Requetes parametrees (pas d'injection SQL)

## Notes

OWASP Top 10 : A01 Broken Access Control, A02 Crypto Failures, A03 Injection, A07 XSS. En cas de doute, appliquer le principe du moindre privilege.
