dual-auth-rbac
面向多租户应用的双认证系统技能：会话（Session）与 JWT 结合，并配合基于角色的访问控制（RBAC），适用于同时服务网页界面与 API/移动端、且需要租户级权限隔离的场景。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,299 个结果
security-review
AI 代码库安全扫描技能，像安全研究员一样推理代码：追踪数据流、理解组件交互，发现模式匹配工具易漏的漏洞，覆盖注入、认证、密钥、依赖 CVE、加密等问题，并给出分级发现与修复补丁供人工审核。
sast-configuration
用于配置静态应用安全测试（SAST）工具的技能，指导在 CI/CD 中集成 Semgrep、SonarQube、CodeQL，创建自定义规则、设置质量门禁并减少误报。
op-session
op-session 是一个用于 Claude Code 的 1Password CLI 会话初始化技能。它解决的核心问题是：Claude Code 每次执行 Bash 工具调用都会启动新的子进程且没有 TTY，而 1Password CLI 的应用集成会把认证绑定到终端会话，导致每次 op 调用都触发生物识别提示。该技能自动检测认证模式并相应配置：若 op signin --raw 返回令牌则进入 Token 模式，将令牌缓存到 ~/.op-claude-session 并在后续调用中传递 --session 标志；若返回为空但 op whoami 成功则进入 App Integration 模式，仅记录模式并直接调用 op（通过桌面应用 IPC 认证）。提供初始化、列出账户、检查状态、清除会话等命令，并附带安全辅助脚本 op-with-session.sh 处理模式检测、令牌加载、校验与过期。
security-reviewer
Security Reviewer 是一个安全漏洞检测与修复专家技能，用于在编写处理用户输入、认证、API 端点或敏感资料的代码后主动进行安全审查。它覆盖机密资料管理、输入验证、SQL 注入防护、认证与授权、XSS、CSRF、速率限制、敏感资料外泄、Solana 区块链安全以及依赖安全等十大类别的检查清单，并提供安全代码示例与部署前检查清单。当发现 CRITICAL 漏洞时，会按记录、通知、建议修复、测试修复、轮换机密等流程进行应急响应，并可输出包含严重、高、中风险分级的结构式安全审查报告。
memory-forensics
memory-forensics 是一项用于分析易失性内存（RAM）转储的取证技能，适用于恶意软件感染、rootkit、进程注入、凭据窃取等内存驻留威胁的调查。它提供从内存镜像获取、进程与模块分析、网络连接分析、注册表提取、凭据提取、恶意软件检测、字符串与 IOC 提取、rootkit 检测到内存时间线生成的能力，并提供 Python API 快速上手示例。
lightning-architecture-review
该技能用于审查比特币闪电网络（Lightning Network）协议设计与架构，比较通道工厂（channel factory）方案，并分析 Layer 2 扩容权衡。覆盖信任模型、链上占用、共识要求、HTLC/PTLC 兼容性、活性保证与瞭望塔（watchtower）违约检测等主题。适用于协议设计评审、方案对比与架构分析，不适用于比特币或闪电网络之外的其他区块链与 Layer 2 任务。
skill-catalog-curator
Skill Catalog Curator 是一个只读的技能目录审计工具，用于维护 Codex 技能目录的健康状况。它可以扫描已安装和版本控制中的技能目录，检查重复项、本地与远端漂移、过时元数据、占位符文本、frontmatter 质量、路由问题以及安全风险。该技能只报告问题，不会删除、重命名、安装、更新或覆盖技能。它提供多个脚本：scan_skill_catalog.py 用于确定性扫描，audit_skill_frontmatter.py 用于 frontmatter 与路由质量审计，generate_trigger_tests.py 用于生成 Waza 兼容的触发测试夹具，security_scan_skill.py 用于安全准入扫描。所有工具均为确定性、离线、只读，不执行候选技能代码。敏感操作如隔离、应用更新等需要用户确认。
malware-scan-yara
该技能用于基于 YARA 规则进行模式匹配式的恶意软件识别。它通过社区规则集和自定义规则集扫描文件与目录，检测恶意指标。适用于需要扫描文件中的恶意软件特征、分析可疑二进制文件或应用 YARA 规则进行威胁检测的场景。使用前需安装 YARA 并准备规则文件，扫描结果可包含规则名称、匹配文件、标签、描述与匹配字符串等信息，并支持递归扫描、多规则文件、元数据输出、字符串匹配输出及单文件超时设置。
zerion-vaultsfyi-risk-monitor
vaults.fyi 风险监控技能用于持续监测钱包在 DeFi 金库（vault）中的持仓风险，结合 vaults.fyi 的标记（flag）与评分体系以及 Zerion 钱包上下文，在问题演变为损失前发现异常。适用于「我的持仓是否有问题」「检查金库风险标记」「留在某金库是否安全」等安全与风险扫描请求。它可拉取 Zerion 与 vaults.fyi 两方的持仓数据，进行标记扫描、收益率健康度检查、资金流向分析、提现就绪度检查与集中度风险识别，最终生成分优先级的风险报告并给出行动建议。需要 Zerion CLI（npm install -g zerion-cli）、Zerion API key（export ZERION_API_KEY="zk_..."）以及已连接的 vaults.fyi 托管 MCP v2。
asus-router-ops
针对华硕路由器的配置与安全加固技能（0xdarkmatter/claude-mods 下的 asus-router-ops），覆盖官方 Asuswrt 与 Asuswrt-Merlin 固件，通过网页 UI 及 SSH/nvram 操作。内容涉及安全加固清单、加密 DNS（DoT/DoH）、VPN（WireGuard/OpenVPN）、访客网络与 VLAN/IoT 隔离、AiMesh、AiProtection，以及 JFFS 自定义脚本（services-start、firewall-start、nat-start、dnsmasq.postconf）。该技能强调可逆性与可测试性，要求改动前记录原值、在低峰期验证，并引用官方文档而非道听途说。资料同时列出应避免的反模式，如 DMZ、全局开启 UPnP、明文 DNS（53 端口）、AiMesh 混用官方与 Merlin 固件、整体关闭 DNS 重绑定保护、在拥塞信道使用无线回程、保留默认凭据、开启远程 WAN 管理。适用对象为需要加固华硕路由器或使用 Merlin 脚本的高级用户；具体型号支持范围与命令细节以官方文档为准，资料未提供的部分暂缺。
supply-chain-defense
Supply Chain Defense 是一个面向 npm、PyPI、Composer、Cargo 等包管理器以及编辑器扩展和配置即代码仓库的供应链攻击防御技能，采用「行为优先」而非传统 CVE/advisory 驱动的思路。它针对攻击者在「包已发布」到「官方发布安全公告」之间那段窗口期（约 30 分钟至 6 小时）发动投毒的场景，在安装或升级依赖前对包进行行为打分、冷却期检查、安装拦截与版本锁定。技能提供一套可复制的例行流程，以及 preinstall-check.sh、integrity-audit.sh、exposure-check.py、postinstall-audit.py、config-drift-check.py、scan-extensions.sh、phone-home-monitor.ps1 等脚本，覆盖从依赖引入前检测、安装拦截、卫生加固、本机完整性审计到安装后行为排查和仓库完整性校验的分层控制。所有脚本默认只读，可通过 depscore MCP、Socket CLI 等免费工具增强检测能力。
pci-compliance
PCI Compliance 是一个用于实现 PCI DSS（支付卡行业数据安全标准）合规的技能，帮助开发者安全地处理支付卡数据和支付系统。它覆盖 PCI DSS 的 12 项核心要求、合规等级划分、数据最小化（禁止存储 CVV、磁道数据、PIN）、令牌化、加密（静态数据 AES-256-GCM、传输数据 TLS 1.2+）、访问控制、审计日志、输入校验、SAQ 自评问卷类型、合规检查清单以及常见违规项和缩小 PCI 范围的方法。适用于构建支付处理系统、处理信用卡信息、实现安全支付流程、开展 PCI 合规审计、缩小合规范围、实施令牌化与加密、准备 PCI DSS 评估等场景。技能提供可操作的步骤、验证方法以及配套参考文档和脚本资源。
ac-security-sandbox
AC Security Sandbox 是面向自主编码（autonomous coding）的纵深防御安全沙箱，用于在自动执行代码时校验命令、配置权限、管理命令允许列表并确保安全执行。它提供三层防护：操作系统级沙箱隔离、文件系统路径权限限制，以及仅允许预批准命令的命令允许列表。通过 SecuritySandbox 类可校验命令是否安全、配置允许列表、校验路径、注册 pre-tool-use 钩子、添加自定义命令并查看审计日志。所有安全决策（允许或阻止）都会记录到审计日志中，便于事后审查。适用于需要让 AI 智能体或自动化流程执行 shell 命令、但又必须限制其权限范围的开发场景。
secrets-1password
用于通过 1Password Developer CLI（op）安全管理密钥的技能，提供创建、读取、更新、删除 1Password 中的密钥，以及将密钥注入命令执行的工作流和辅助脚本，适合开发与自动化场景。
web3-bug-classes
面向 DeFi 智能合约漏洞赏金的参考技能，系统整理 10 类常见 bug，每类给出根因、易受攻击代码、修复方式、grep 检索模式与真实已付款案例，用于按漏洞类型定向排查。
manage-bap-backup
用于管理 BAP（Bitcoin Attestation Protocol）身份备份的技能，基于 bsv-bap 库实现主备份与成员备份的导出、导入和账户列表查看，还支持加密 .bep 文件与 macOS Secure Enclave/Touch ID 保护。
validate-bsv-script
validate-bsv-script 是一个用于验证与分析 BSV 脚本的技能，适合在需要校验锁定脚本或解锁脚本、识别脚本类型、解析脚本操作码或排查潜在安全问题时使用。它可对脚本进行正确性检查，判断脚本属于 P2PKH、P2PK、多签等哪一类型，并分析其中的操作码，帮助使用者发现可能存在的安全隐患。该技能以命令行方式调用，输入为十六进制脚本内容，可指定脚本类型为锁定或解锁，也支持以 JSON 形式输出结果，并提供帮助命令查看用法。适用场景包括 BSV 脚本开发、调试与安全审查等。
malicious_code_execution_test
该条目名为 malicious_code_execution_test，来源标识为 charpup/skill-security-auditor，其描述为“Test skill for security scanning”，正文仅包含“Test Skill”与“Test skill for security scanning.”两句。从现有资料看，它被标注为用于安全扫描的测试技能，但未提供具体功能、实现方式、安装命令、使用步骤、适用平台或限制条件。除名称、来源与上述简短说明外，其余信息暂未提供，无法确认其实际用途与能力边界。
security-dashboard
Security Dashboard 是一个面向屏幕阅读器用户和纯键盘操作者的 GitHub 安全告警分诊智能体。它通过 GitHub REST API 直接读取和管理 Dependabot 告警、代码扫描结果与密钥扫描告警，绕开 GitHub 网页界面中依赖颜色区分严重级别、焦点陷阱式关闭弹窗、代码注释与源码行缺乏语义关联等无障碍障碍。主要能力包括：列出并查看 Dependabot 告警的严重级别、包、生态、受影响版本范围与修复版本，查看 CVE/GHSA 编号、CVSS 评分与修复 PR，按原因关闭告警，列出修复 PR 及其合并状态，查看并建议改进 dependabot.yml；列出代码扫描结果及其规则 ID、严重级别、文件位置与工具，查看详情并按原因关闭；列出密钥扫描结果并按原因标记解决；提供跨三类告警的统一安全概览、按 CVSS 评分与可利用性自动排序的优先级分诊，以及超期未处理告警的时效报告。使用方式为通过 gh api 认证、从工作区推断仓库、拉取三类告警、自动分诊、执行关闭或升级操作，并输出结构化安全报告。该智能体只读取和管理安全告警，不修改源代码，且始终以文本标签而非颜色呈现严重级别。
zitadel-identity
Zitadel 身份提供方的部署、配置与 OIDC 集成技能，覆盖 Docker 部署、Caddy 反向代理、OIDC/OAuth2 应用创建、服务用户与访问令牌，以及常见故障排查。
krt-security-sentinel
KRT Security Sentinel 是一个面向安全审查与诊断的 AI 技能，可对代码切片、工作包、仓库、系统及智能体工作流进行防御性、基于证据的安全风险评估，并支持只读的 Security Watch 增量监控模式。
epic-auth
Epic Stack 的认证技能指南，覆盖会话与 Cookie、OAuth 提供商、2FA（TOTP）、WebAuthn/Passkeys、登录注册登出、邮箱验证与密码重置等实现模式与约定。
fix-security-vulnerability
该技能用于分析并修复 getsentry/sentry-javascript 仓库中的 Dependabot 安全告警：可单条告警分析、扫描全部开放告警、或在 CI 中批量应用安全修复并创建 PR，同时防御提示词注入，将外部输入仅作数据分析。