security-headers-audit
用于静态审查 HTTP 安全响应头配置的技能，覆盖 Express/Helmet.js、Nginx、Apache、Next.js、Flask、Django、Spring Boot 等框架，检查 CSP、CORS、HSTS、X-Frame-Options 等 10 余项控制并映射 CWE 与 OWASP Top 10:2021。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,279 个结果
qa-tester
qa-tester 是 kienhaminh/anti-chaotic 仓库中的 QA 测试技能，用于规划测试、编写测试用例、报告缺陷，以及执行单元、E2E、安全与性能测试，强调以项目 docs/ 文档为唯一事实来源。
lgpd-md
lgpd-md 是一个用于生成、验证和审计 lgpd.md 文件的技能，lgpd.md 是面向网站的 LGPD（巴西《通用数据保护法》Lei 13.709/2018）合规声明开放标准。支持本地或在线文件校验、结构化访谈生成文件，以及输出 HTML 合规报告并与历史报告逐项对比。
implementing-beyondcorp-zero-trust-access-model
介绍用 Google Cloud IAP、Access Context Manager、Endpoint Verification 与 Chrome Enterprise Premium 实现 BeyondCorp 零信任访问的实践技能，覆盖访问级别、设备信任、连接器、日志审计等要点。
implementing-disk-encryption-with-bitlocker
在 Windows 终端上使用 Microsoft BitLocker 实施全盘加密，保护设备丢失或被盗时的静态数据。资料涵盖 TPM 与系统要求核查、GPO 与 Intune 策略配置、PowerShell 与 manage-bde 命令启用加密、恢复密钥托管到 AD/Azure AD 及加密状态监控。
implementing-iec-62443-security-zones
依据 IEC 62443-3-2 为工业自动化与控制系统（IACS）设计安全区域与通道的技能，涵盖基于风险的区域划分、安全等级目标（SL-T）设定、工业防火墙与 VLAN 分段、数据二极管部署及区域架构验证。
implementing-just-in-time-access-provisioning
该技能用于实施即时（JIT）访问配置，通过临时、限时授权消除常驻特权，涵盖审批流程、自动过期、与 PAM/IGA 平台集成及零信任对齐，适用于安全架构建设与合规控制。
performing-insider-threat-investigation
面向内部威胁调查的网络安全技能，指导在获得法务与HR授权后，对员工、承包商或可信伙伴滥用授权访问的行为进行取证式调查，涵盖DLP告警、UBA异常、离职人员数据窃取等场景。
deep-security-scan
deep-security-scan 是 Codex Security 插件中的深度扫描技能，用于对指定仓库或路径执行多轮独立的标准安全审计，汇总结果并生成规范化的扫描清单与报告。
validation
Codex 安全扫描的验证阶段技能，用于对发现阶段产生的候选安全发现做证据支撑的验证评估，判断其是否成立、可报告或被抑制。
dependency-audit
Dependency Audit 是一个用于审计项目依赖风险的技能，无需注册即可使用。它通过读取项目的清单文件（如 package.json、requirements.txt、go.mod、Cargo.toml、Gemfile 等）来识别已知漏洞版本、未固定版本范围、被废弃的包以及严重过时的主版本。该技能会优先使用项目自带的包管理器（如 npm audit、pip-audit、go list、cargo audit）进行原生审计并解析结果；若工具链未安装，则回退到直接检查清单文件。它按风险类别标记每个依赖，包括已知漏洞、未固定版本、宽泛范围、严重过时、被废弃以及体积过大或重复的依赖，并按严重程度排序，给出具体的升级或替换操作建议。
financial-intelligence-unit
用于金融情报单位（FIU）日常运作的技能：处理反洗钱预警队列、案件分派、分诊与调查生命周期，开展可疑活动资金分析、类型学研判、案件文档与MLRO上报包准备，并支持内部FIU报告与质量保证。仅做内部案件工作，不提供申报或法律建议。
security-sentinel
security-sentinel 是一个用于代码安全审计的智能体技能，可执行漏洞评估与安全审查，覆盖输入校验、SQL 注入、XSS、认证授权、敏感数据泄露及 OWASP Top 10 检查，并输出分级报告与修复建议。
x-report
通过 chrome-devtools MCP 报告 X（Twitter）上的垃圾机器人或诽谤中伤投稿的技能。支持传入个人主页 URL 以分析其回复模式，或传入单条帖子 URL 直接报告；报告前需用户确认，报告类别由用户选择。
enterprise-role-lifecycle-review
Enterprise Role Lifecycle Review 是一个用于设计和审计企业角色生命周期控制的安全技能。它覆盖角色分类体系、RBAC/ABAC、入职-转岗-离职（joiner-mover-leaver）事件、SCIM/SSO 同步、特权访问、审批、break-glass 访问、陈旧权限复核以及客户管理员权限问题，并将这些内容转化为包含负责人、门禁、指标和恢复路径的具体交付物。该技能通过识别租户模型、角色目录、身份提供方、事实来源、生命周期事件、特权角色、审批负责人、审计证据、支持覆盖路径和面向客户的管理状态，对场景进行分类（如新企业租户、角色迁移、SSO/SCIM 上线、特权管理员扩展、合并/组织变更、审计准备、事件修复或支持驱动的访问修复），进而定义角色分类、权限事实来源、生命周期状态机、入职/转岗/离职检查、特权访问门禁、break-glass 控制、陈旧访问复核节奏、支持工作流和审计证据，最终产出角色生命周期评审、状态机、决策表、事件模式、访问清单、例外策略和修复计划。
stacksmith-safety
面向软件项目的安全控制技能，提供谨慎、冻结、守卫等子命令，在危险操作前进行确认与边界限制，并记录时间线日志。
privilege-escalation-web
Web 应用层权限提升方法论，用于在 Web 应用存在用户注册/登录、角色权限管理、API 参数传输用户身份信息时，寻找应用逻辑中的权限检查漏洞。覆盖 Mass Assignment（批量赋值）攻击、角色/权限字段注入、HTTP 方法/Header 绕过、Cookie/Session 篡改，并强调注册后立即检查普通用户能否越权访问管理员功能。
security-pass
Security Pass 是一个面向软件项目的、上下文感知的安全审查技能。它在执行时不是套用固定检查清单，而是先为项目建立真实模型——理解系统做什么、有哪些组件、处理哪些敏感数据、信任边界在哪里、哪些角色可能具有恶意——然后才在这个模型内寻找风险。其流程为：PROJECT → DISCOVER → UNDERSTAND → ANALYZE → CORRELATE → DEDUPLICATE → TRIAGE → REPORT。它只分析、检测、解释并提出建议，绝不修改代码、规格、配置或架构；产品决策、架构变更与风险接受始终留给人类。它会发现项目实际拥有哪些材料（产品文档、架构设计、规格与任务、源码、测试、配置与环境文件、依赖清单、CI/CD 流水线、CLAUDE.md 等），缺失的层次会明确说明跳过而非凭空编造。分析按层进行：产品与需求、架构与设计、规格与任务、代码、测试，每个发现需附具体证据，并按 ID、标题、严重级别、置信度、类别、受影响工件、位置、描述、证据、攻击场景、潜在影响、现有缓解、建议修复、建议验证、所需变更类型等结构书写。最终在项目根目录输出 SECURITY-REPORT.md，包含执行摘要、安全优势、发现、优先级、治理/需决策事项，客户品本身不被改动。
api-auth-clerk
Clerk 托管认证技能，覆盖 ClerkProvider、中间件、预置组件、hooks、服务端认证、组织与 Webhook，并说明 Clerk Core 3 的迁移变化与安全要求。
audit-xcode-security-settings
该技能用于审计 Xcode 项目的安全构建设置与授权（entitlements），并逐步启用面向安全的编译器警告、静态分析器检查器以及 Enhanced Security 强化功能。它通过 Xcode 专用工具（XcodeGlob、XcodeGrep、XcodeRead、XcodeLS、XcodeUpdate、AddEntitlement、XcodeListTargets 等）读取项目、构建审计表，并生成可编辑的计划文件供用户审阅后再执行变更。适用于需要评估和加固 iOS/macOS 等 Xcode 项目安全配置的开发者。
obfuscation_test
一个用于安全扫描测试的技能，属于 charpup/skill-security-auditor 项目，页面标注为 Test Skill。公开资料仅提供名称、来源与简短说明，未提供具体功能、使用步骤或收费信息。
auth-flow-validation
用于校验前后端认证流程一致性的技能，覆盖 JWT、OAuth2、令牌刷新与会话管理同步。帮助排查登录、令牌存储、Authorization 头格式、刷新地址与放置位置等前后端不匹配问题，并给出验证清单与报告模板。
osint-recon
osint-recon 是一个面向授权调查、威胁情报与攻击面评估的开源情报（OSINT）收集技能，强调伦理边界，仅使用公开来源，系统化收集、分析与关联信息，并按固定报告格式输出发现、置信度与情报缺口。
dag-permission-validator
用于校验父子智能体之间权限继承的 DAG 权限验证器，确保子智能体权限等于或比父级更严格，可在派生智能体前阻止越权配置并给出修正建议。