SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-15 00:40
4,025 个结果
Threat Modeling Expert 是一个专注于威胁建模方法论、安全架构评审与风险评估的技能。它掌握 STRIDE、PASTA、攻击树以及安全需求提取等方法，适用于安全架构评审、威胁识别和构建安全设计（secure-by-design）系统。该技能可主动用于新系统或功能设计、架构安全缺口审查、安全审计准备、攻击向量识别、安全投资优先级排序、安全文档编写以及团队安全思维培训。其能力包括 STRIDE 威胁分析、攻击树构建、数据流图分析、安全需求提取、风险优先级排序与评分、缓解策略设计以及安全控制映射。使用流程涵盖定义系统范围与信任边界、创建数据流图、识别资产与入口点、对每个组件应用 STRIDE、为关键路径构建攻击树、对威胁评分与排序、设计缓解措施以及记录残余风险。该技能不适用于缺乏安全评审范围或授权、需要法律或合规认证、或仅需自动化扫描而无需人工审查的场景。
Authentication Setup 是一个用于为 Web 应用和 API 设计或重构产品认证方案的技能。它聚焦于认证的“设置层”，帮助在托管认证、框架原生认证、平台原生认证、企业附加认证与自托管认证之间做出选择，并明确会话与令牌边界、登录方式（邮箱密码、魔法链接、社交 OAuth、Passkeys）、应用自有的用户/资料/组织/成员数据，以及 SSO/SCIM、域名映射和迁移切换边界。该技能强调先确定认证路线与所有权边界，再进入实现，避免直接堆砌 JWT 代码片段，也避免把认证、授权、安全加固和文档混为一谈。
本技能用于解析 NetFlow v9 与 IPFIX 网络流数据，识别流量异常与潜在威胁，包括流量型异常、端口扫描、数据外泄以及 C2 信标行为。技能基于 Python netflow 库实现，依赖 Python 3.8+ 环境。适合安全事件调查、检测规则编写、威胁狩猎查询构建，以及在 SOC 场景中为相关分析提供结构化流程。使用时需先安装 netflow 依赖，可从路由器采集流数据或使用内置采集器监听端口获取数据，再调用解析函数处理原始数据包，并按端口扫描、数据外泄、C2 信标、流量型异常等维度分析流记录。最后可通过脚本生成按优先级排序的发现报告。该技能面向具备网络安全基础知识并拥有测试或实验环境与适当授权的人员。
中文介绍正在整理，稍后补充。
中文介绍正在整理，稍后补充。
Security Scanning 是一个面向 CI 流程的安全扫描技能，覆盖密钥泄露、依赖漏洞、SAST 静态分析、问题分级处置以及带过期时间的例外管理。它强调密钥问题快速失败并在暴露后轮换，依赖问题对严重和高危级别进行门禁并自动化更新，SAST 从高信号规则起步并逐步收紧。该技能还提出开源安全评估框架，从许可证风险、按严重度加权的 CVE、组件过时程度三个独立维度评估第三方组件，并以最差维度作为门禁依据。例外需要提供原因、负责人和过期时间。
中文介绍正在整理，稍后补充。
Windows Hardening 是一个用于加固 Windows 服务器的技能，依据 Microsoft 安全基线和 CIS 基准进行配置。它涵盖安全基线部署、账户策略、组策略安全设置、Windows 防火墙、审计策略、Windows Defender 以及 BitLocker 加密等。适用于新服务器加固、合规审计准备（SOC2、PCI-DSS、HIPAA）、安全事件后的配置以及域组策略安全标准建立。
中文介绍正在整理，稍后补充。
该技能用于为浏览器托管的 Syncfusion Blazor 组件配置内容安全策略（CSP），适用于 Blazor Server、WebAssembly 及 Auto 渲染模式，覆盖自托管（Static Web Assets）与 CDN 两种资源加载方式。需在 App.razor 或 index.html 中添加 CSP <meta> 标签，并按需配置 font-src、style-src、script-src、connect-src、img-src、object-src 等指令；CDN 用户还需在 script-src 与 style-src 中追加 CDN 域名。
中文介绍正在整理，稍后补充。
面向授权渗透测试、CTF 挑战和漏洞赏金项目的结构化侦察与攻击面枚举技能。在执行任何命令前先确认用户拥有对目标的书面授权，且目标在既定范围内；若授权不明确则先询问，绝不假设已获授权。技能分三阶段推进：被动侦察阶段在不直接接触目标的情况下收集信息，包括 DNS 记录查询与区域传送尝试、通过证书透明度枚举子域名、WHOIS 注册信息、搜索引擎 dork 查询、技术栈指纹识别、公开代码仓库搜索以及 Wayback Machine 历史数据；主动侦察阶段仅在获得明确授权时进行，包括使用 nmap 进行端口扫描、基于开放端口的服务枚举、使用 gobuster、feroxbuster 或 dirsearch 进行 Web 内容发现、虚拟主机枚举、API 端点发现以及 SSL/TLS 分析；分析阶段则关联全部发现，按潜在影响严重性、可利用可能性和暴露程度对攻击向量排序。最终产出结构化侦察报告，包含目标、确认范围、日期、被动发现表格、发现的子域名、检测到的技术、主动发现表格、攻击面摘要及建议后续步骤。该技能强调边界约束：不得扫描范围外或相邻系统，对激进扫描限速以避免干扰，记录所有执行过的命令，发现第三方入侵证据时立即提醒用户，并拒绝无明确授权或针对无关目标的大规模扫描请求。相关参考包括 PTES、OWASP 测试指南和漏洞赏金方法论。
中文介绍正在整理，稍后补充。
Security Guidance 是 OWASP Secure Agent Playbook 中的一项安全优先开发指导技能，基于 OWASP ASVS（应用安全验证标准）构建。它用于在规划或编写涉及安全敏感操作的代码时，自动提供对应的 ASVS 验证要求。技能以参考索引形式组织，覆盖编码与净化架构、注入防护、输入验证、业务逻辑安全、反自动化、浏览器安全、Web 服务、文件处理、认证、会话管理、授权等章节。使用时先根据任务匹配索引中的触发条件，再读取对应参考文件，按最安全选项实现要求，并以行内注释引用所满足的条款。若索引中无匹配项或指导冲突，技能要求停止并上报，而非猜测。
中文介绍正在整理，稍后补充。
security-audit 是一个面向游戏项目的安全审计技能，用于在公开发布或多人在线功能上线前，系统排查存档篡改、作弊途径、网络漏洞、数据泄露与输入校验等问题。它以 6 类审计分类扫描代码库，为每个发现项标注严重级别与状态，最终生成带修复优先级的安全审计报告，并给出发布建议（不予评估、可发布、发布前修复或禁止发布）。该技能运行于客户端技能体系内，需读取项目配置以确定引擎、语言与平台目标；在无法确认引擎 API 名称或代码范围时，相应分类会被标记为未评估，而非视为通过。
中文介绍正在整理，稍后补充。
DevSecOps 专家技能，专注于安全 CI/CD 流水线、左移安全、安全自动化与合规即代码。覆盖安全扫描（SAST、DAST、SCA）、基础设施安全（IaC 扫描、策略即代码）、容器与 Kubernetes 安全、密钥管理、供应链安全（SBOM、签名与溯源）以及合规自动化。强调以 TDD 方式先编写失败的安全测试再实现安全门禁，并提供增量扫描、并行分析、缓存扫描结果等性能优化模式。适用于在开发早期集成安全、构建自动化安全门禁、加固容器与集群、保护敏感数据与软件供应链等场景。
该技能用于对 SMTP（简单邮件传输协议）服务器开展安全评估，识别开放中继、用户枚举、认证弱点、TLS 配置及邮件认证（SPF/DKIM/DMARC）等问题。技能强调仅限授权使用：执行任何探测、利用、更改、持久化、数据提取或凭据访问命令前，必须先确认目标、书面授权与范围，并展示具体命令等待明确确认；未确认时保持只读并提供防御性指导。所需工具包括 Nmap、Netcat、Hydra、smtp-user-enum 和 Metasploit。
中文介绍正在整理，稍后补充。
中文介绍正在整理，稍后补充。
中文介绍正在整理，稍后补充。
该技能用于执行静态应用程序安全测试（SAST），通过在源代码层面进行静态分析，在部署前识别安全漏洞。支持多种主流 SAST 工具，包括 Semgrep、CodeQL、SonarQube，以及针对特定语言的 Bandit（Python）、ESLint Security（JavaScript）和 Brakeman（Ruby）。适用于实施安全 SDLC 实践、在 CI/CD 中增加安全门禁、自动化代码安全审查、在部署前发现漏洞以及满足合规要求等场景。技能提供了各工具的安装命令、基础用法、自定义规则示例、CI 配置（如 GitHub Actions）、质量门禁脚本以及最佳实践建议，并可与其他技能（如 DAST 扫描、依赖扫描）结合使用。
code-review-security 是一个面向安全代码审查的技能，由 owasp/secure-agent-playbook 提供，入口为 https://www.skills.sh/owasp/secure-agent-playbook/code-review-security。其说明指出，它按 OWASP Top 10 与 ASVS 映射进行以安全为重点的代码审查，适用于审查拉取请求、审计文件或模块中的漏洞等场景。该技能引用 plays/code-review-security.md 中的完整流程，主要围绕确定审查范围与上下文、按漏洞类别系统审查、应用框架相关检查、针对 PR 的差异分析，以及生成包含文件与行号、漏洞片段、攻击场景、修复代码和置信度评级的问题发现。