manage-changelog
用于按 Keep a Changelog 格式维护项目变更日志的技能，涵盖条目分类（Added、Changed、Deprecated、Removed、Fixed、Security）、[Unreleased] 区段管理，以及发布时将条目提升为带版本号区段；检测到 R 约定时适配 NEWS.md。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,300 个结果
dev-security-audit
面向开发者工作站的系统化安全审计技能，分阶段检查供应链入侵指标、凭据与密钥泄露、应用与浏览器数据、持久化后门，并生成按风险排序的修复计划。
security audit and vulnerability scanning
面向 Rust 项目的综合安全审计与漏洞扫描工作流，涵盖依赖 CVE 扫描、策略强制、unsafe 代码检测与密钥泄漏检测，并给出按严重度分级的修复时限建议。
rbac
该技能是 Snowflake 基于角色的访问控制（RBAC）设计路由器，用于规划或重构角色层级。它帮助选择适合账户的角色层级，并路由到各层的子流程：账户角色、环境管理员、域管理员、数据库访问角色、模式访问角色，以及跨领域事项（角色画像、仓库、次要角色、策略角色）。适用于为新 Snowflake 账户设计全新 RBAC 层级、将现有混乱角色重构为清晰的访问角色模式、为数据库或模式创建读/写/创建角色、在功能（画像）角色与数据产品访问角色之间做选择，以及在掩码或行访问策略中正确引用角色。该技能本身不执行任何 SQL，仅指导应引用哪些角色；策略实现与共享机制由其他技能处理。
ubs-scanner
UBS（Ultimate Bug Scanner）是一款多语言自动化缺陷扫描工具，用于在代码进入生产环境前发现缺陷。它可识别 1000 多种缺陷模式，覆盖 JavaScript/TypeScript、Python、C/C++、Rust、Go、Java、Ruby、Swift 等语言，重点关注 AI 编码代理常引入的问题。检测类别包括空指针崩溃与未防护访问、安全漏洞（XSS、eval 注入、SQL 注入）、缓冲区溢出与不安全内存操作、释放后使用与重复释放，以及缺失 async/await 导致的静默失败、类型比较错误、资源生命周期失衡、错误路径缺少 defer/清理等。工具以静态分析方式运行，支持按严重级别、语言和规则集过滤，并输出 SARIF/JSON 供 CI 与质量门禁使用。
security-sentinel
security-sentinel 是一个面向代码安全审计的技能，来源为 udecode/plate，页面地址 https://www.skills.sh/udecode/plate/security-sentinel。它被描述为执行安全审计，覆盖漏洞排查、输入验证、认证与授权、硬编码密钥以及 OWASP 合规等方向，适用于对代码进行安全审查的场景。该技能设定为以攻击者视角进行系统化扫描，围绕输入验证、SQL 注入、XSS、认证授权、敏感数据暴露和 OWASP Top 10 逐项检查，并输出包含执行摘要、详细发现、风险矩阵和修复路线图的安全报告。资料中提及的检查方式包括使用 grep 搜索输入点、原始查询、敏感字段等，并强调所有输入需校验与净化、SQL 使用参数化、启用 CSRF 保护、配置安全响应头、错误信息不泄露敏感内容、依赖保持更新等要求。对 Rails 项目还特别关注强参数、CSRF 令牌、批量赋值漏洞和不安全重定向。具体安装方式、运行命令、收费情况、适用平台等信息资料中暂未提供。
mobile-security-mobsf
该技能用于调用 MobSF（Mobile Security Framework）对 Android（APK/AAB）和 iOS（IPA）移动应用进行自动化静态与动态安全分析，可检测不安全存储、弱加密、硬编码密钥等问题。技能通过 Docker 运行 MobSF，并使用其 API 完成上传、扫描和报告获取，最终以表格形式呈现发现项，并汇总安全评分、危险权限、证书与签名信息等。
deepsec-docs
deepsec 是 AI 驱动的漏洞扫描器，本条目为其文档技能：在用户询问 deepsec 的安装、配置、扫描与扩展时，应先读取仓库内随包分发的文档再作答，避免凭记忆作答。
gws-modelarmor-create-template
gws-modelarmor-create-template 是 gws-claude-plugin 中用于 Google Model Armor 的技能命令，作用是创建一个新的 Model Armor 模板。该命令通过 gws modelarmor +create-template 调用，需指定 GCP 项目 ID、位置和模板 ID，可选使用 jailbreak 预设或通过 --json 传入模板配置。创建后的模板名称可用于 +sanitize-prompt 和 +sanitize-response 命令。使用前需阅读 gws-shared 技能文档以了解认证、全局标志和安全规则。
prompt-injection-defense
Prompt Injection Defense 是一个用于防御提示注入的技能（skill），针对的是攻击者利用 Unicode 隐藏字符制造“人眼所见与模型所读不一致”的文本。这类不可见、改变方向或视觉误导的字符可能藏在智能体视为权威的文件中（如 CLAUDE.md、AGENTS.md、SKILL.md、.cursorrules），也可能出现在 MCP 工具描述以及运行时抓取的内容里（网页抓取、issue 正文、依赖 README）。该技能提供扫描、净化和原始字节审查三类控制手段：扫描工具 scan-hidden-unicode.py 可检测隐藏或危险码点，命中时退出码为 10；净化工具 sanitize-content.py 在不受信内容进入上下文前移除危险码点；同时提供原始字节审查方法以核对真实字节。技能还包含 MCP 工具描述审计、边界钩子与规则等实践模式，并给出信任边界、摄取面风险排序、反模式与验证清单。脚本通过 run-python.sh 启动，需 Python 3.8+，支持 --strict、--json 等参数。
security-threat-modeler
Security Threat Modeler 是一个面向系统设计的安全分析技能，扮演“高级安全架构师”角色，用于识别软件架构中的潜在漏洞并提出缓解措施。它采用 STRIDE 方法（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）对系统进行系统化分析，要求或识别数据流图（DFD）与信任边界，并针对每个组件逐项检查 STRIDE 六类威胁。该技能还会对发现的问题按严重程度分类（严重、高、中、低），在需要更细粒度评分时可使用 DREAD（损害程度、可复现性、可利用性、受影响用户、可发现性），并为每个威胁提出具体的技术或流程控制措施，例如针对 SQL 注入（篡改）建议使用参数化查询（PreparedStatement）。适用上下文包括 Web、云（AWS/GCP/Azure）、IoT 和移动安全。最终交付物是结构化的威胁模型报告。其语气客观、具有建设性的偏执与精确，避免笼统警告，强调具体攻击路径。
terra-auth
terra-auth 是一个用于管理 Terra API 身份验证与凭据的技能，覆盖测试、预发布和生产三套环境。它提供按环境加载凭据的 .env 文件约定与辅助函数，支持初始化 Python SDK 客户端、生成终端用户认证部件（Widget）会话 URL、生成移动 SDK 一次性令牌、注销用户并撤销数据访问，以及列出可用的可穿戴设备提供商集成。同时给出 REST API 所需的请求头与 cURL 示例、API 基础地址、各类令牌的有效期说明，以及密钥安全和 Webhook 签名密钥使用等最佳实践。
security-reviewer
Security Reviewer 是一个面向安全审计的 Claude Code 技能，由 alexander-danilenko/cortex-claude-code-plugins 提供。用于代码漏洞审查、SAST 扫描、密钥检测、渗透测试与基础设施安全审计，输出带严重性评级和修复建议的报告。
k8s-security-policies
该技能提供 Kubernetes 生产级安全策略指南，涵盖 NetworkPolicy 网络策略、Pod 安全标准（PodSecurityPolicy 已弃用后的替代方案）、RBAC 权限控制、OPA Gatekeeper 策略准入及 Istio 服务网格 mTLS 与授权策略，适用于网络分段、最小权限、多租户隔离与合规场景。
web3-start-here
一个用于 Web3 智能合约安全与漏洞赏金学习的技能链主索引，按顺序引导阅读基础知识、漏洞类别、grep 模式、Foundry PoC、报告撰写与 AI 工具。
aeon-skill-security-scan
aeon-skill-security-scan 是一款在运行前审计已安装 Bankr 技能的安全扫描工具，检查 SKILL.md 与配套脚本中的 shell 注入、密钥外泄、路径穿越、提示词覆盖、破坏性命令和混淆等风险，输出 CLEAN/ATTENTION/DEGRADED 判定与逐项修复建议。
prompt_injection_test
prompt_injection_test 是来自 charpup/skill-security-auditor 的一个测试用技能，官方描述为“用于安全扫描的测试技能”。从现有资料看，它并非面向终端用户的完整产品，而是一个用于验证安全扫描流程的示例/测试条目，正文仅包含“Test Skill”与“Test skill for security scanning.”两句说明。资料未提供其具体功能、检测规则、支持平台、安装方式、使用步骤、收费模式或实际效果，因此这些内容暂未提供。
roster-server
RosterServer 是一个 Node.js 虚拟主机库，可为多个 HTTPS 站点提供隔离的 VirtualServer 实例，并自动完成 Let's Encrypt 证书签发与续期。支持 Express、Socket.IO、静态站点和自定义处理器，适合多域名部署与本地开发。
an-jian
安检（an-jian）是一个技能安全审查工具，用于在安装技能前检测危险命令、网络请求、文件写入、凭证泄露、资源耗尽、权限提升和外部依赖等风险，并给出风险等级与处理建议。
ThreatModel
ThreatModel 是一个防御性威胁建模与风险管理技能，用于梳理自有资产中敏感数据的分布、模拟资产被攻陷的场景，并把风险记录进可复审的风险登记册。仅处理自有资产，不涉及攻击性操作。
insightface_arcface
基于 InsightFace 与 ArcFace R100 的高精度人脸识别技能，用于将自拍与证件照进行比对。生成 512 维人脸嵌入，通过余弦相似度判断是否为同一身份，可作为人脸匹配的主模型。
convex-authz
为 Convex 应用提供生产级授权能力的组件，支持 RBAC、ABAC、ReBAC 与 O(1) 权限检查，灵感来自 Google Zanzibar。提供 TypeScript 类型安全、审计日志、作用域权限与限时授权，并含 React 集成的 Hooks 与 PermissionGate 组件。
freud-detection-ai
Freud Detection AI 是一个用于游戏运营场景的技能，帮助设计与验证由 AI 驱动的异常/欺诈风格检测工作流。它适用于定义信号特征、模型评分阈值、告警质量与复核路径等环节，强调可解释的门控与审查流程。该技能以工作流方式组织：先定义检测范围、信号、阈值策略与复核 SLA，并设定客观指标与发布阻塞条件；再设计模型评分流程、回退启发式与升级规则，明确归属与依赖边界；随后以可追溯的小步增量实施并记录运行/构建上下文；接着验证阈值结果、告警质量与调查可追溯性，将契约违背视为阻塞项；最后交付检测器配置差异、告警路由更新与运行手册。输出契约要求返回上下文、验证结果、具体文件级变更、命令及预期输出、风险与限制。该技能不涉及具体收费、价格、平台或效果数据，这些事实暂未提供。
ai-sast-triage
用于解析 Endor AI SAST 发现，结合漏洞利用复现与修复指引获取固定提交源码，并准备变更请求的 Cursor 技能。