auth-assessment
该技能用于审计移动应用的身份验证与授权机制，对照 OWASP MASVS-AUTH 控制项和 MASTG 测试用例进行检查。它覆盖远程认证协议（OAuth 2.0、OIDC、PKCE）、令牌存储与生命周期、生物识别等本地认证实现、敏感操作的步进认证，以及会话失效逻辑。最终输出包含认证架构概览、按严重程度分级的发现、会话管理评估、本地认证评估、步进认证覆盖情况和 MASVS-AUTH 合规总结的结构化报告。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,265 个结果
masvs-checklist
用于生成移动应用 MASVS v2 合规检查清单的技能，并为每项控制映射对应的 MASTG 测试。它可以分析指定代码库，判断平台、应用类别、数据敏感性和风险等级，按存储、加密、认证、网络、平台交互、代码质量、逆向防护和隐私等类别输出检查项、优先级、状态与测试映射，并对代码中可见证据做初步状态标注和差距分析，最终写入 MASVS_CHECKLIST.md。
security
面向 API 路由开发的安全规范，来自 elie222/inbox-zero 项目。规定所有处理用户数据的接口必须使用 withAuth 或 withEmailAccount 中间件，数据库查询必须按用户/邮箱账号限定作用域，并对 Cron 接口、输入校验和错误响应提出安全要求。
ionic-biometric-auth
为 Ionic Capacitor 应用添加 Face ID、Touch ID 或指纹认证的技能，基于 @aparajita/capacitor-biometric-auth 实现生物识别登录、应用锁与敏感功能门禁。
security-check
面向后端的安全审计技能，覆盖认证、授权、令牌、支付滥用、文件上传、数据泄露、注入与访问控制缺陷。它先识别项目语言、框架与既有约定，再按配置、路由、控制器、服务、数据层、模型、校验、中间件、认证、令牌、会话、支付与额度等目录逐项检查，强调不信任客户端、服务端强制校验、所有权核对与最小暴露。
domain-primitives-and-always-valid
基于 Domain Primitives 与 Always-Valid Domain Model 原则，帮助设计并实现类型安全、始终有效的领域模型，防止原始类型滥用，通过构造时校验、不可变性与自包含性保证不变量。
ratchet
Ratchet 是一个用于在项目中建立或收紧合规护栏（guardrails）的技能，面向 IEC 62304 / ISO 14971 医疗器械软件开发。它支持新项目从零搭建（greenfield）、在已有项目中逐步改造（retrofit），以及升级已有护栏脚本。核心流程包括：定位护栏源、检测项目模式、多单元仓库访谈、脚手架搭建、差距分析、安全等级访谈（IEC 62304 4.3）以及人工设置清单。Ratchet 强调逐步收紧、绝不覆盖人工成果、绝不放松门禁，并要求提交签名与工具确认记录。
siem-rule-generator
siem-rule-generator 是一个面向安全高级领域的自动激活技能，用于协助生成 SIEM 规则相关操作。当请求中提到“siem rule generator”或询问其模式与最佳实践时自动触发，提供分步指导、生成生产就绪的配置与代码，并按通用标准验证输出。
security-threat-model
一个用于为服务或功能编写基于 STRIDE 的威胁模型的技能。适用于被要求产出威胁模型、记录安全风险、识别攻击向量、或评估安全控制时。
implementing-alert-fatigue-reduction
该技能用于缓解SOC告警疲劳，通过评估告警质量、调优检测规则、合并重复告警、实施基于风险的告警（RBA）和分层路由来降低误报量级，并提供Splunk ES查询示例与前后对比报告模板。
implementing-privileged-access-workstation
该技能介绍如何基于分层管理模式设计并部署特权访问工作站（PAW），涵盖设备加固、Intune或组策略合规强制、即时（JIT）访问开通，以及与CyberArk、BeyondTrust等PAM平台的集成，并输出合规与风险报告。
investigating-insider-threat-indicators
该技能用于调查内部威胁指标，包括数据外泄、未授权访问、政策违规和离职前行为。需在HR、法务与隐私团队授权下，结合SIEM、DLP、EDR等日志进行时间线分析、异常检测与证据保全。
performing-alert-triage-with-elastic-siem
在 Elastic Security SIEM 中系统化开展告警分诊的技能：借助 Kibana、ES|QL 查询与 ECS 规范化字段，对告警进行分类、优先级排序与调查，判断哪些是真实威胁。
conflicting-laws-mgmt
该技能用于指导跨司法辖区隐私要求的冲突管理，涵盖数据本地化与自由传输、同意标准差异、儿童年龄门槛、泄露通知时限、正当利益可用性及DPO独立性等冲突，并提供决策树、冲突登记表与治理建议。
coppa-compliance
依据公开资料整理的 COPPA 合规技能，覆盖 16 CFR Part 312 下的儿童隐私要求，包括可验证家长同意方式、直接通知、家长访问权、数据最小化与安全留存，并含 FTC 执法案例与拟议修订说明。
cross-jurisdiction-cookies
跨司法辖区 Cookie 合规技能，梳理 EU ePrivacy、UK PECR、美国加州 CCPA/CPRA 及巴西 LGPD 等 Cookie 同意要求，提供按地区配置、同意状态存储、政策结构与测试矩阵。
dpia-stakeholder-consult
面向GDPR第35(9)条的数据主体与利益相关方咨询技能，指导在数据保护影响评估（DPIA）中规划、执行并记录咨询活动，涵盖咨询方法选择、流程步骤与文档留痕要求。
gdpr-one-stop-shop
依据公开资料，该技能用于指导 GDPR 第 56 条“一站式”机制，判定跨境处理中的主导监管机构，涵盖主要营业机构等情形。
hipaa-research-privacy
依据45 CFR §164.512(i)落实HIPAA隐私规则中涉及受保护健康信息（PHI）研究使用的合规技能，覆盖IRB或隐私委员会豁免、有限数据集、去标识化、预研审查和逝者研究等途径，并厘清HIPAA与通用规则的关系。
octopus-security-audit
面向代码安全审查的 Claude Octopus 技能，支持 OWASP Top 10 扫描、漏洞检测与红蓝对抗测试，可在 Codex CLI 中运行，用于提交前检查、部署前评审和 CI/CD 安全门禁。
vaultcontext
VaultContext 是一个命令行工具，用于在个人或项目保险库中存储、版本化、比较、归档、恢复并显式共享任意加密文件，面向 Linux/macOS 与 AI 代理场景。
aml-compliance
面向反洗钱与金融犯罪合规的技能，用于搭建或完善风险为本的AML/CFT项目，覆盖KYC、CDD/EDD、PEP与制裁筛查、交易监测、可疑活动报告、加密资产与旅行规则、检查准备及FATF/BSA/EU AMLD等框架的高层映射。
information-security-engineer
面向信息安全工程实施的操作型技能，聚焦把安全架构、审计发现或策略落地为可部署的防护控制。涵盖身份与访问（SSO、MFA、RBAC、PAM）、加密与密钥管理（KMS、TLS、密钥轮换）、安全工具集成（SIEM、EDR、SOAR）、漏洞修复验证与安全系统变更发布。
red-team-specialist
面向授权企业红队与对手模拟的技能，指导战役规划、基于威胁情报的目标设定、以 MITRE ATT&CK 框架选择与排序 TTP、撰写 ROE 与 OPSEC 约束、协调紫队检测验证，并输出高管叙事与修复交接。