fix-finding
fix-finding 是一个用于修复并验证已确认或疑似安全漏洞的技能，仅在用户明确要求修复并验证安全漏洞时使用，不适用于普通缺陷修复或正确性问题。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,284 个结果
security
该技能聚焦数据库安全，涵盖访问控制、SQL 注入防护、加密、审计与合规，帮助实施用户与角色管理、行级与列级权限、参数化查询、TDE 与列加密、TLS 连接、审计日志及 GDPR、PCI-DSS、HIPAA 等合规要求。
experimentersoftroll422-security-loader
面向 Windows 的文件系统安全项目，通过 Rust 绑定 EaseFilter File Security SDK，提供文件活动监控、访问策略控制与加密工作流集成，需管理员权限运行。
onepassword-environment-secrets
该技能用于在 1Password Environments 中添加、更新和验证环境变量，适用于需要存储 API 密钥、凭据、令牌或合作伙伴标记等敏感信息的场景。其核心目标是让项目环境变量保存在既有的 1Password Environment 中，而不在聊天、日志、截图、仓库或同步文件中暴露密钥值。技能规定使用 Environment 而非 vault item，通过服务账号进行只读认证，并要求在添加或更新变量前先核对已有变量名。验证过程不返回变量内容，仅确认可访问性与变量是否存在。若缺少桌面应用中的变量编辑能力，技能会要求用户手动完成 UI 步骤。所有操作遵循最小暴露原则，报告时仅提及目标 Environment 名称、增删改的变量名和访问验证结果。
constant-time-analysis
检测加密代码中可能通过执行时间差异泄露密钥等秘密数据的操作，支持 C、Go、Rust、Java、Python 等多语言静态分析，提供命令行工具与 JSON 输出，便于人工复核与 CI 接入。
security-and-hardening
一套面向 Web 应用的安全加固技能，主张把每个外部输入都视为恶意、把授权检查视为必需。覆盖威胁建模、输入校验、认证、SQL 注入、XSS、SSRF、限流、密钥管理与 LLM 功能安全等实践，并给出检查清单。
israeli-privacy-shield
以色列隐私保护法合规指引工具，涵盖第13号修正案（2025年8月14日生效）、数据库登记、同意要求、跨境传输、泄露通知、数据主体权利、未成年人数据与AI治理等，输出为AI生成的通用说明与模板，不构成法律意见。
iso27001-audit
对仓库或应用执行框架无关的 ISO/IEC 27001:2022 就绪度审计，运行时检测技术栈并按 11 个控制类别映射附录 A 控制项与 ISMS 条款，输出评分、差距登记与整改建议。
cryptography
Sorcha.Cryptography 技能，提供多算法密码学能力：支持 ED25519、P-256、RSA-4096 签名与验证，AES、ChaCha20 对称加密，以及 BIP39/44 HD 钱包派生，所有操作以 CryptoResult<T> 返回显式错误而非抛异常。
superagent
Superagent 的配置与集成技能：在编码智能体的工具边界部署 Context Guardrails 上下文防护，通过 MCP 连接 Superagent 远程服务，并配置签名 Webhook 接收发现与事件。适用于 Cursor、Claude Code、Codex CLI 等客户端，强调凭据保护与操作前确认。
scan-repo
scan-repo 是一个针对 GitHub 开源项目的安全扫描技能，用于在安装或使用某个套件、专案之前评估其安全性与可信度。当使用者贴出 GitHub URL、询问「这个 repo 安不安全」「这个开源套件能否信任」或希望在安装前评估风险时，会触发此技能。它会自动化完成一套多阶段扫描流程，最终输出包含专案概览、依赖分析、静态弱点、供应链风险、Issues 安全回报与专案健康度的完整报告，并给出明确的安装建议与风险总结。整个过程属于静态分析，不执行任何程式码，扫描结束后会清理 clone 下来的 repo。
gdpr-dsgvo-expert
GDPR/DSGVO Expert 是一套面向欧盟《通用数据保护条例》（GDPR）与德国《联邦数据保护法》（BDSG）合规的自动化工具与指南集合。它提供三个 Python 脚本：GDPR 合规检查器可扫描代码库，识别个人数据模式（邮箱、电话、IP）、特殊类别数据（健康、生物识别、宗教）、金融数据（信用卡、IBAN）以及高风险代码实践（记录个人数据、缺少同意机制、无限期保留、未加密敏感数据、删除功能被禁用），输出 0-100 合规评分、风险分级与带条款引用的整改建议；DPIA 生成器按第 35 条要求生成数据保护影响评估文档，支持阈值评估、风险识别、法律依据记录与缓解建议；数据主体权利追踪器管理第 15-22 条请求，支持访问、更正、删除、限制、可携带、反对、自动化决策等类型，含 30 天期限跟踪、身份验证流程、响应模板与合规报告。此外还提供 GDPR 合规指南、德国 BDSG 要求、DPIA 方法论等参考文档，以及新处理活动评估、数据主体请求处理、德国 BDSG 合规检查等工作流。
cloudflare-zero-trust
Cloudflare Zero Trust 是一套无需 VPN 的安全远程访问方案，由 Cloudflare Tunnel（安全连接）与 Cloudflare Access（认证与授权）组成。其核心原则是认证不可省略：每个隧道从第一天起就必须配置访问控制。该技能适用于为应用搭建 Cloudflare Tunnel、配置 Access 认证、安全暴露内部应用、以零信任模型替代 VPN、集成 OIDC/SSO 身份提供商（Azure AD、Okta、Google）、在 Docker 容器中运行 cloudflared、排查 502 Bad Gateway 错误，以及通过仪表盘或 CLI 管理隧道。资料强调“未认证的隧道 = 公开暴露的服务 = 安全事件”，并给出远程管理（仪表盘）与本地管理（config.yml）两种隧道方式的对比、Docker/Kubernetes 部署要点、私有网络路由、自托管与 SaaS 应用接入、OIDC/SSO 集成、访问策略设计、服务认证（M2M/API）以及 502 与认证循环的排查流程。
network-netcat
Netcat（nc）网络工具的授权安全测试技能，用于 TCP/UDP 连接读写、端口扫描、横幅抓取、文件传输、反向/绑定 shell 与中继跳板，仅限获得书面授权的渗透测试环境使用。
password-generator
一个用于生成安全密码和密码短语的技能，支持自定义长度、字符集、PIN 与熵计算，可通过 /password 命令触发，兼容 Codex 与 Claude Code。
alipay-authenticate-wallet
支付宝官方提供的支付服务开通与授权技能，用于开通、授权、绑定或解绑支付宝AI支付能力。当用户要求开启或检查支付功能、解绑钱包、发送授权码，或反馈已完成支付宝侧授权时使用。
web-legal-audit
对任意网址进行黑盒法律合规审计的技能，覆盖GDPR、西班牙LSSI-CE、AEPD cookie指南、WCAG 2.2/EAA无障碍、HTTP安全与广告法规，产出面向律师的.docx报告与可执行整改计划。
aegis-vulnerability-management-process
Aegis 技能集中的漏洞管理流程模块，定义可循环的漏洞管理闭环，用于消费审计输出，让每个发现都经过优先级排序、修复、验证与跟踪。它审计的是流程能力而非代码弱点，产出流程就绪度评分、差距清单、模板与指标基线。
encrypt-decrypt-backup
用于加密或解密 BSV 钱包备份文件的技能，基于 bitcoin-backup CLI（bbackup），支持 .bep 格式（AES-256-GCM）及多种备份类型，如 BAP 身份、WIF 私钥、Ordinals 与支付密钥等。
recon
recon 是一个面向授权渗透测试、CTF 与漏洞赏金的结构化侦察技能，用于枚举目标攻击面并整理成报告。它分被动与主动两阶段：被动收集 DNS、子域、WHOIS、搜索引擎与公开代码库信息；在明确授权下主动做端口扫描、服务枚举、Web 目录探测与 SSL/TLS 分析，最后按危害与暴露程度排序攻击向量。
incident-response-main
面向 Microsoft Entra ID、Microsoft 365、Defender 及混合身份与终端事件的防御性事件响应辅助技能，帮助分析师完成登录排查、范围界定与遏制建议，强调基于证据、保留原始证据并保留人工最终判断。
security-headers
用于检查并落地 HTTP 安全响应头的技能：扫描响应头、发现缺失与错误配置、评估 CSP/CORS 等策略并给出修复建议，适合 Web 应用上线前与定期安全巡检。
error-sanitization
Error Sanitization 是一个面向生产环境的错误处理技能，核心思路是：在服务端完整记录错误详情用于调试，同时只向用户返回通用、安全的提示信息，防止数据库连接串、内部文件路径、堆栈跟踪、API 密钥和业务逻辑细节等敏感信息泄露。它适用于构建向客户端返回错误消息的 API、生产环境异常处理、存在部分失败的批处理操作，以及任何错误消息可能泄露敏感信息的系统。技能提供了 Python 与 TypeScript 两种实现，包含敏感模式匹配、生产/开发环境区分、验证错误与 4xx 客户端错误的安全放行、以及领域专用清理器和批处理部分失败处理示例。
security-auditor
面向代码安全合规与漏洞评估的用户触发式审计工作流，依据 OWASP Top 10 与 STRIDE 方法论检查认证授权、输入校验、密钥管理、依赖漏洞与审计日志，并将发现记录为文档与 GitHub 议题。