implement-sso
用于为已自行管理用户与会话的应用接入 Modular SSO：生成 SAML/OIDC、IdP 发起的登录及管理员门户的 Node 代码，并输出控制台检查清单，不执行安装或启动服务。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,301 个结果
implementing-access-control
基于 Scalekit 访问令牌实现服务端 RBAC 与权限校验的技能：验证并解码令牌，提取角色与权限，在路由边界强制执行访问控制。
implementing-modular-sso
该技能用于在已有用户管理系统的应用中集成 Scalekit 的企业级 SSO 与认证流程，属于 Modular SSO 模式（用户与会话由应用自行管理）。内容涵盖配置 Modular Auth 模式、安装并配置 Node.js/Python/Go/Java SDK、生成授权 URL、处理 IdP 发起的登录、处理认证回调、校验 ID Token 与 Access Token、使用内置 IdP 模拟器测试，以及通过 Admin Portal 完成客户自助接入。技能强调 organization_id 等连接选择器、回调 URL 注册、relay_state 保留等安全护栏，并提供多租户、分步认证、登出等常见模式与故障排查指引。
implementing-scim-provisioning
基于 Scalekit Directory API 实现 SCIM 用户生命周期管理与目录同步的技能：搭建 SCIM Webhook 端点、校验签名、映射目录事件到本地用户操作，并同步群组用于 RBAC。适用于接入 IdP 目录自动创建、更新、停用用户的场景。
testing-auth-setup
testing-auth-setup 是 Scalekit 提供的认证集成验证技能，通过运行 dryrun CLI 针对真实环境检查认证配置是否正确。它支持两种模式：fsa 用于测试全栈认证登录流程（登录、回调与会话处理），sso 用于测试企业级 SAML/OIDC 单点登录。使用前需确认已设置 SCALEKIT_ENVIRONMENT_URL 与 SCALEKIT_CLIENT_ID，sso 模式还需提供 organization_id。该技能会展示 dryrun 输出并用通俗语言解释通过/失败原因，遇到常见错误（如 client 无效、redirect_uri 不匹配、组织不存在、连接拒绝或超时）会给出对应排查步骤。当模式不明确时，它不会擅自选择，而是询问用户。
cloud-forensics
Cloud Forensics 是一个面向云平台取证分析的技能，用于调查 AWS、Azure、GCP 和 Microsoft 365 环境中的安全事件。它支持分析云审计日志、资源配置、数据访问模式和身份活动，提供 CloudTrail、VPC Flow Logs、S3 访问、IAM 活动、Azure 活动日志与登录日志、GCP 云审计日志、M365 统一审计日志等取证能力。该技能可检测可疑活动、权限提升、凭据滥用、数据外泄、不可能旅行、C2 信标等，并支持生成时间线、资源清单、证据保全与监管链文档。使用方式为通过 Python 导入 cloud_forensics 模块，初始化对应云平台的取证类并调用其方法。
security-review
Security Review 是一个用于代码安全审查的技能，旨在识别代码中可被利用的安全漏洞。它强调只报告高置信度的发现，即存在明确漏洞模式且输入受攻击者控制的情况。该技能要求先研究整个代码库以建立信心，追踪数据流、确认输入来源、检查是否存在验证或框架保护，再决定是否报告。它区分了“报告范围”（仅用户提供的文件、diff 或代码）与“研究范围”（整个代码库）。技能内置置信度分级：高置信度（漏洞模式加攻击者可控输入确认）报告并标注严重性；中置信度（漏洞模式但输入来源不明）标注为“需验证”；低置信度（理论性、最佳实践、纵深防御）不报告。它列出了不应标记的情况，如测试文件、死代码、注释、使用常量或服务器控制配置的模式、需要预先认证才能到达的代码路径。技能还提供了框架缓解模式参考，避免误报，例如 Django、React、Vue 的自动转义，ORM 参数化查询等。审查流程包括检测上下文、加载语言指南、加载基础设施指南、标记前研究、验证可利用性、仅报告高置信度问题。严重性分类从严重到低，涵盖 RCE、SQL 注入、认证绕过、硬编码密钥、存储型 XSS、SSRF、IDOR、反射型 XSS、CSRF、路径遍历等。输出格式包含摘要、发现列表、需验证项，并强调绝不重现实际密钥值，只显示变量名和掩码占位符。技能还附带了参考文件，涵盖核心漏洞、语言指南和基础设施指南。
security-patterns
面向 Web 应用（尤其是 ABP Framework）的安全模式资料，涵盖 STRIDE 威胁建模、OWASP Top 10 合规、ABP 授权与安全审计流程、多租户安全与常见漏洞模式。用于安全审计、认证授权实现、威胁建模、代码审查与权限系统设计。
python-pip-audit
python-pip-audit 是一个用于扫描 Python 依赖已知漏洞的技能，可审计当前环境、requirements.txt 或本地项目，查询 PyPI 与 OSV 数据库，报告 CVE、GHSA 及修复版本，并支持自动升级、忽略指定漏洞和多种输出格式。
cocoapods-privacy-manifests
面向 CocoaPods 库开发者的 iOS 17+ 隐私清单（PrivacyInfo.xcprivacy）实现指南，涵盖文件创建、Required Reasons API 声明、数据收集声明、跟踪域名配置，以及在 podspec 中打包与验证的方式。
volcengine-cloud-trail
火山引擎操作审计（CloudTrail）技能，用于查询审计事件、解析事件名、管理 Trail 以及管理历史补投任务。通过 ve cloudtrail（版本 2021-09-01）和 scripts/cloud_trail.py 封装调用，支持按登录行为、资源 ID、读写属性、错误码、RequestID 等条件检索审计日志，并输出摘要或带注释的完整日志。Trail 与补投写操作均先预览、经用户确认后执行，删除 Trail 前会检查活跃补投任务，补投窗口需满足近 90 天等约束。需要 ve CLI、python3 与已完成鉴权的环境；补投创建能力需运营开白。
compliance
该技能用于帮助开发者在为受监管行业（如医疗、金融、教育、房地产、法律）构建软件时，理解合规要求并将其转化为具体的技术决策。它覆盖 HIPAA、PCI-DSS、SOC 2、FERPA、GDPR、CCPA/CPRA 等常见法规，说明每项法规对技术栈的影响（如加密、访问控制、审计日志、BAA 协议），并提供启动前的合规检查清单、何时寻求专业帮助以及常见错误。该技能强调合规不是法律建议，而是将法规翻译为技术实现模式，帮助团队在早期做出不阻碍后续认证的技术选择。
bug-bounty-validation
bug-bounty-validation 是一个用于漏洞赏金提交前验证的结构化决策框架。它在发现潜在漏洞之后、撰写完整报告之前运行，通过一系列顺序关卡：7 问题关卡、始终被拒清单、漏洞链需求评估、4 道提交前关卡以及 CVSS 3.1 严重性评估，最终给出 SUBMIT（提交）、KILL（放弃）、NEEDS CHAIN（需要漏洞链）或 NEEDS IMPROVEMENT（需要改进）的裁决。其目的是在报告到达项目方之前，拦截无效、超出范围或质量不足的发现，减少被拒提交。该技能不需要外部工具，属于纯决策框架，需要输入发现描述、资产、漏洞类别、复现步骤数、影响、所需权限等变量，并可选择性提供项目范围页 URL 和链式漏洞伙伴。
mcp-security-hardening
MCP 安全加固技能，围绕 Model Context Protocol（MCP）集成提供纵深防御安全模式。核心原则是将所有工具描述视为不可信输入，通过哈希校验验证工具身份，并对所有工具能力实行最小权限。主要覆盖：提示注入防御（描述字段清理与注入模式检测）、工具投毒（TPA）防范（零信任白名单）、防 Rug Pull（每次调用比对哈希）、数据外泄防护（输出过滤）、会话安全（加密会话 ID 与超时控制），以及按工具和按会话的速率限制。适用于为 MCP 服务器加固、在暴露给 LLM 前校验工具描述、实施零信任工具白名单等场景。
security-audit-standard
Security Audit Standard 是一套面向代码库的安全审计方法论与检查清单，源自生产环境的安全审计实践。它将审计流程划分为多个阶段：密钥扫描、输入验证、认证与授权、数据保护、依赖审计、供应链检查、基础设施检查，并提供 OWASP Top 10 快速核查表、Tauri 特定安全项以及统一的审计报告格式。该技能适用于执行安全审查、排查项目漏洞或进行安全加固的场景，帮助审计者按阶段系统性地定位常见风险，如硬编码凭据、注入、越权访问、依赖漏洞与配置错误。
review
git-repo-prep 技能集中的 review 技能，用于在代码仓库公开前进行“开放性审计”。它会按固定类别逐项检查：密钥泄露（API key、密码、token、.env 是否被提交）、个人信息（源码中的真实姓名、邮箱、硬编码用户名）、许可证（LICENSE 文件、包元数据与 README 三者是否一致）、文档（README、CONTRIBUTING.md、SECURITY.md 是否齐全）、.gitignore（是否覆盖生态常见忽略项、敏感文件是否已被跟踪）、CI/CD（是否有流水线、依赖更新配置）以及元数据（仓库 URL、engines、keywords、description 等）。技能会先检测项目生态（Node.js、Python、Rust、Go、.NET、Ruby、Java/Kotlin），再据此调整检查项，并将发现按 Critical、Recommended、Nice-to-have 三级分类，以对话形式呈现，不生成报告文件。该技能可重复运行，适合在开源发布前或任意阶段做发布前自查。
auth-hardening
Auth Hardening 是一套面向开发者的认证加固实践指南，旨在防止未授权访问。内容覆盖密码哈希（推荐 Argon2id、bcrypt、scrypt，禁止 MD5/SHA-1/SHA-256 明文等）、JWT 最佳实践（短时效访问令牌、刷新令牌存 httpOnly Cookie、校验 exp/aud/iss/alg）、暴力破解防护（登录限流）、会话管理（Cookie 安全设置、登录时重新生成会话 ID、改密后失效所有会话）以及一份认证检查清单。资料还提及弱认证属于 OWASP A07，并关联 PDPA 2024 修正案的法律后果。
harden
harden 是一款面向远程 VPS 的安全审计与自动化加固工具，可检查系统更新、SSH 配置、防火墙、Fail2ban 等状态，并应用不会锁死登录的安全修复，支持审计、修复、紧急加固和生成报告。
permissions
cloddsbot 的权限管理模块，用于管理命令执行审批、工具访问策略与安全控制，支持聊天命令和 TypeScript API，可设置允许/阻止规则、审批流程与安全模式。
token-security
Token Security 是一个通过 GoPlus API 提供代币安全审计的工具，主要面向加密货币代币的风险检测。它能够进行蜜罐检测、拉地毯（rug-pull）分析和风险评分，帮助用户识别潜在恶意代币。使用方式为命令式交互：输入 /audit <address> 可自动识别链并审计代币，/audit <address> --chain <name> 可指定链进行审计，/audit help 查看帮助。该工具适用于在交易或投资前快速评估代币合约安全性，降低被骗风险。具体支持的链列表、评分标准、API 限制及收费情况暂未提供。
security
面向应用安全的安全工程技能，用于漏洞评估、渗透测试指导与安全代码审查，覆盖 OWASP Top 10 检查、STRIDE 威胁建模与合规审计，按安全域分块逐项审计并给出修复建议。
create-wallet
离线创建或恢复 Nano（XNO）钱包，生成助记词、种子和地址。适用于测试出资或从已知种子/助记词推导地址；安全托管建议改用 mcp-wallet 技能。
cometchat-production
CometChat 生产化配置技能：将客户端 authKey 开发模式替换为服务端令牌鉴权，并提供服务端用户管理 CRUD 与环境加固清单，适用于上线前的安全整改。
forensics-team
forensics-team 是一个面向网络流量与安全事件分析的技能，强调以原始 PCAP 数据包为事实依据，从 OSI 底层向外逐层排查，使用 tcpdump 等系统原生工具进行深度包分析与取证归因。