SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
7,272 个结果
该技能用于对任意代码库执行基于 OWASP Top 10 2025 框架的系统性安全审计，输出带严重程度分级、并附证据的结构化报告。它强调语义化代码理解，而非单纯的正则或 grep 模式匹配：grep 模式仅作为起点，真正的分析通过阅读与推理代码上下文完成。适用场景包括用户要求“对代码库运行 OWASP 审计”“检查 OWASP Top 10 漏洞”“基于 OWASP 2025 做安全审计”“仅审计 A01 和 A03”“检查仓库常见漏洞”以及“OWASP 安全审查”。不适用于 PR 代码评审、仅做依赖扫描（npm audit/pip audit）、SOC2/ISO 27001 合规检查、无审计意图的一般安全问题、威胁建模以及单文件代码评审。输入包括可通过 Glob/Grep/Read 访问的代码库、可选指定的 OWASP 类别、可选的关注点。输出为 Markdown 报告（仅在用户要求时写入文件），包含执行摘要表、按类别列出的发现（含严重程度/置信度/证据/修复建议）、统计摘要与后续步骤。
该技能是一套针对任意文件上传漏洞的检测、绕过与利用方法论，适用于目标存在上传功能（如头像、附件、导入）、multipart 表单或文件管理接口的场景。内容覆盖上传功能发现与分析、基础上传测试、绕过决策树、Webshell Payload 构造以及 .htaccess 攻击等环节，并包含扩展名、Content-Type、Magic Bytes 三层绕过思路，以及 .htaccess 覆盖、.user.ini + auto_prepend_file、图片马二次渲染绕过、ZIP 解压利用和上传路径猜解等方法。技能强调上传成功不等于可利用，必须访问验证文件是否可被解析执行，并提示服务端可能对文件名进行 hash 重命名，需从响应中获取新文件名。
GraphQL API 安全测试方法论，用于在发现 /graphql 端点、POST JSON 查询、GraphQL Playground/Explorer 页面或响应中出现 data/errors JSON 结构时开展测试。内容覆盖从端点发现、Introspection 查询与绕过、数据枚举、权限绕过、注入攻击到高级技巧的完整流程，并包含 CTF 场景下的别名批量操作绕过速率限制与字符串插值注入思路。
移动 App 后端 API 安全测试技能，用于针对移动应用后端接口开展安全测试。当目标为移动应用后端接口、发现 /api/v1/ 等移动端 API 路径，或需要测试 App 与服务器之间通信安全时使用。该技能覆盖 API 端点发现、认证机制测试、业务逻辑漏洞以及移动端特有的安全问题，并指出移动 API 通常比 Web 更信任客户端、后端校验更少，需注意 API 版本差异（如 v1 存在漏洞而 v2 已修复但 v1 未下线）。
SQL注入检测、利用与绕过的完整方法论技能，适用于表单提交、登录页面、搜索功能和数据查询接口。涵盖POST参数完整性检查、EXTRACTVALUE截断陷阱，以及UNION、报错、盲注与sqlmap流程，并附多份深入参考文档。
服务端模板注入（SSTI）检测、引擎识别与利用方法论技能，适用于 Flask/Jinja2、Django、Twig、Mako、Pug 等模板应用。含注入点定位、检测决策树、引擎识别表、Jinja2 利用链与多引擎 payload 参考，以及过滤绕过与子类遍历等高级技巧。
认证实现安全模式指南，强调绝不存储明文密码，应使用 bcrypt 或 Argon2 慢哈希，并采用恒定时间比较、通用错误信息、限流与锁定等措施。
Binary Reverse Engineering 是一个面向二进制逆向工程的方法论技能，用于在没有源代码的情况下分析 ELF 二进制、可执行文件和固件镜像的行为。它提供整体分析哲学、假设驱动的分析循环、知识模型与人类审批触发点，并协调多个子技能分别处理快速指纹识别（triage）、静态分析（r2 + Ghidra）、动态分析（QEMU + GDB + Frida）、报告生成（synthesis）和工具安装（tool-setup）。技能支持通过关键词自动路由，并借助情景记忆跨会话保存分析事实、假设与决策。
阿里云 ECS/VPC 公网连通性排障技能，通过内置 Python 脚本对 ECS 实例或 VPC 云服务做只读全链路诊断，覆盖公网 IP、安全组、NAT/SNAT、路由、EIP、DDoS 与云防火墙，输出信息表并给出异常项修复建议。
阿里云已签约客户安全产品配置基线体检工具，扫描 WAF 3.0、SAS、CFW、DDoS 四类产品共 60 项配置，按覆盖率、防护强度、响应时效、合规对齐、最佳实践五维度百分制打分，输出 HTML 报告、Excel 整改清单与 Markdown 摘要。
Osprey 是一个精准项目估算技能，可将安全审计与代码评估结果转化为包含范围、时间线、定价与交付物的专业提案，用商业语言而非技术术语向客户呈现修复工作量。
用于审计项目依赖、框架、语言运行时与开发工具链的安全技能，可发现已知漏洞（CVE）、安全反模式与供应链风险，并输出按优先级排序的修复计划。
用于安全实现认证与授权的技能，涵盖会话、RBAC/所有权、服务端保护、Cookie 及常见漏洞预防，适用于实现登录与权限守卫等场景。
用于分析图片 EXIF 元数据的技能，通过检测 Photoshop、GIMP、Lightroom 等编辑软件签名，辅助判断图片是否被编辑；常配合反欺诈流程使用。
code-quality-scan 是 dweinstein/mobile-security-skills 技能库中的一个移动应用代码质量与安全审计技能，用于对照 OWASP MASVS-CODE 控制项和 MASTG 测试对移动应用代码库进行审计。它检查平台版本要求（Android 的 minSdk/targetSdk、iOS 的最低部署目标）、应用强制更新机制、第三方依赖的已知漏洞（CVE）与维护状态、不受信任输入的校验与消毒情况，并将发现映射到对应的 MASTG 测试，最终输出包含平台版本评估、更新机制评估、依赖清单、输入校验发现、汇总表和合规结论的结构化报告。适用于 Android、iOS 及 React Native、Flutter、Xamarin 等跨平台项目。
Prompt Guard 是 Meta 推出的 86M 参数提示注入与越狱检测分类器，用于在 LLM 应用中过滤恶意提示词和第三方数据。它能够区分正常内容（BENIGN）、数据中嵌入的指令（INJECTION）以及直接覆盖尝试（JAILBREAK），并给出对应的概率分数。模型体量轻，GPU 延迟低于 2ms，可在 CPU 上部署。支持英语、法语、德语、西班牙语、葡萄牙语、意大利语、印地语和泰语 8 种语言。资料给出的性能指标为：分布内 TPR 99.7%、FPR 0.6%，分布外 TPR 97.5%、FPR 3.9%。
cardano-cli-wallets-operator 是一个需人工显式调用的操作型技能，用于实际执行 Cardano 钱包命令，包括生成支付与质押密钥、构建地址。它不会由模型自动触发，强调执行前确认网络、隔离目录与密钥权限。
用于生成 Microsoft Threat Modeling Tool v7.3+ 可打开的 .tm7 威胁模型文件的技能，把系统组件、数据存储、外部交互者、数据流与信任边界转换为图表和 STRIDE 威胁，并按 WCF DataContractSerializer 格式序列化。
面向 LLM 应用的安全技能，依据 OWASP LLM Top 10 2025 提供提示注入防护、输出处理、拒绝服务、供应链、插件设计、过度代理、数据泄露等控制要求与示例。
security-check 是一个面向 Web 应用的安全审计技能，依据 OWASP Top 10 与常见漏洞检查代码。适用于审计安全问题、审查认证与授权、排查注入与配置缺陷等场景，按严重程度输出带文件行号和修复建议的发现。
面向 Firecrawl 集成安全基线的技能，帮助在凭据、目标、请求选项、Webhook、不可信内容、留存、日志与自托管暴露面等方向进行威胁建模与加固。
用于 Mistral 集成安全审查的技能，围绕凭据、不可信内容、模型输出、工具、文件与租户访问做威胁建模，帮助在应用边界落实身份、授权与副作用安全控制。
该技能介绍在 Sentry 中配置符合 GDPR 的数据处理方式，涵盖客户端 beforeSend 过滤、服务端数据擦除、数据保留策略、用户数据删除 API 以及 SOC 2 合规模式，适用于需要在错误监控中清洗 PII 的团队。
用于静态审查 HTTP 安全响应头配置的技能，覆盖 Express/Helmet.js、Nginx、Apache、Next.js、Flask、Django、Spring Boot 等框架，检查 CSP、CORS、HSTS、X-Frame-Options 等 10 余项控制并映射 CWE 与 OWASP Top 10:2021。