tauri-app-biometric
Tauri v2 生物识别插件的使用指南，聚焦生物识别认证流程与回退策略。该技能适用于在 Tauri 应用中集成 Face ID 或指纹认证、设计认证提示与错误处理、以及在生物识别不可用时制定回退与恢复方案的场景。使用时先明确认证流程与回退需求，再配置插件的权限与能力，随后实现认证提示和错误处理，并建议将生物识别认证与安全存储结合以保存敏感信息。产出物包括生物识别认证流程方案、回退与恢复清单。技能边界限定为生物识别认证，核心是认证流程与回退策略。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
安全与审计
4,376 个结果
owasp-llm-top10
该技能让 AI 智能体依据 OWASP GenAI 安全项目发布的《OWASP LLM 应用十大风险（2025）》对大型语言模型（LLM）与生成式 AI 应用执行安全评估。评估范围覆盖提示注入、敏感信息泄露、供应链、数据与模型投毒、输出处理不当、过度代理、系统提示泄露、向量与嵌入弱点、错误信息、无界消耗等十类风险。适用于 LLM 应用上线前审计、GenAI 集成漏洞审查、RAG 系统评估、聊天机器人或 AI 助手安全评估、AI 功能渗透测试、安全架构设计与第三方 AI API 集成审查、安全合规评审准备及 AI 安全事件响应。技能要求提供应用描述，可选提供架构细节、LLM 供应商、部署环境、数据敏感度、现有控制与具体关注点；执行实时或主动测试时必须提供明确授权、环境和边界，默认仅做文档审查。审计流程包括应用理解、漏洞评估、风险评分与报告生成四步，并给出 P0 至 P4 的漏洞优先级划分与十项最佳实践。
threat-modeling-expert
Threat Modeling Expert 是一个专注于威胁建模方法论、安全架构评审与风险评估的技能。它掌握 STRIDE、PASTA、攻击树以及安全需求提取等方法，适用于安全架构评审、威胁识别和构建安全设计（secure-by-design）系统。该技能可主动用于新系统或功能设计、架构安全缺口审查、安全审计准备、攻击向量识别、安全投资优先级排序、安全文档编写以及团队安全思维培训。其能力包括 STRIDE 威胁分析、攻击树构建、数据流图分析、安全需求提取、风险优先级排序与评分、缓解策略设计以及安全控制映射。使用流程涵盖定义系统范围与信任边界、创建数据流图、识别资产与入口点、对每个组件应用 STRIDE、为关键路径构建攻击树、对威胁评分与排序、设计缓解措施以及记录残余风险。该技能不适用于缺乏安全评审范围或授权、需要法律或合规认证、或仅需自动化扫描而无需人工审查的场景。
analyzing-malicious-pdf-with-peepdf
本技能用于对恶意 PDF 文档进行静态分析，借助 peepdf、pdfid 和 pdf-parser 提取内嵌 JavaScript、shellcode 及可疑对象。适用于钓鱼邮件可疑 PDF 附件研判、PDF 漏洞利用文档的恶意软件分析、从 PDF 中提取内嵌脚本或可执行文件、武器化文档取证，以及构建 PDF 威胁检测特征。使用前需准备 Python 3.8+ 与 peepdf-3、Didier Stevens 套件中的 pdfid.py 和 pdf-parser.py，并在隔离环境（虚拟机或沙箱）中操作；可选安装 PyV8 用于 JavaScript 模拟、Pylibemu 用于 shellcode 分析。
gsd-ns-review
中文介绍正在整理，稍后补充。
authentication-setup
Authentication Setup 是一个用于为 Web 应用和 API 设计或重构产品认证方案的技能。它聚焦于认证的“设置层”，帮助在托管认证、框架原生认证、平台原生认证、企业附加认证与自托管认证之间做出选择，并明确会话与令牌边界、登录方式（邮箱密码、魔法链接、社交 OAuth、Passkeys）、应用自有的用户/资料/组织/成员数据，以及 SSO/SCIM、域名映射和迁移切换边界。该技能强调先确定认证路线与所有权边界，再进入实现，避免直接堆砌 JWT 代码片段，也避免把认证、授权、安全加固和文档混为一谈。
analyzing-network-flow-data-with-netflow
本技能用于解析 NetFlow v9 与 IPFIX 网络流数据，识别流量异常与潜在威胁，包括流量型异常、端口扫描、数据外泄以及 C2 信标行为。技能基于 Python netflow 库实现，依赖 Python 3.8+ 环境。适合安全事件调查、检测规则编写、威胁狩猎查询构建，以及在 SOC 场景中为相关分析提供结构化流程。使用时需先安装 netflow 依赖，可从路由器采集流数据或使用内置采集器监听端口获取数据，再调用解析函数处理原始数据包，并按端口扫描、数据外泄、C2 信标、流量型异常等维度分析流记录。最后可通过脚本生成按优先级排序的发现报告。该技能面向具备网络安全基础知识并拥有测试或实验环境与适当授权的人员。
incident-response
本技能来自 bagelhole/devops-security-agent-skills 仓库，用于以结构化流程处理安全事件。资料给出的核心是事件响应（IR）手册与流程，覆盖检测、遏制、根除、恢复等阶段，并提供严重级别划分、证据采集脚本、取证命令参考、沟通模板以及“凭证泄露”专项 Playbook。适用于正在响应活跃安全事件（入侵、恶意软件、未授权访问）、编写 IR Playbook 与 Runbook、开展桌面演练、搭建证据采集与取证能力、建立安全事件沟通协议、进行事后复盘与流程改进等场景。资料同时列出了使用前提，包括 IR 团队名单与轮值升级路径、独立于生产系统的安全通信渠道、装有分析工具的取证工作站、具备证据链管控的存储、法务联系人以及预先授权的响应动作。
security-best-practices
该技能是一个“路由优先”的 Web / 应用 / API 安全加固技能。当团队提出“让系统变安全”但缺失的安全层尚不明确时使用。它不罗列庞大的 OWASP 清单或中间件目录，而是先界定攻击面与风险，选择一个主要加固模式（浏览器边界策略、会话 Cookie 与 CSRF、滥用控制、验证与不安全执行、密钥与运行时配置、审查与验证），推荐最小可行的首批切片，给出验证阶梯，并把相邻工作如实路由到其他技能。
profile-website-bot-detection
该技能用于分析目标网站的机器人检测（Bot Detection）供应商、具体产品与挑战类型，并支持在 stealth（隐身）与非 stealth 浏览器模式之间进行对比分析。它通过 Kernel 浏览器创建两种会话，在控制网络路径的前提下访问目标站点，自动分析首页与登录页，识别 Akamai、Cloudflare、DataDome、HUMAN/PerimeterX、Imperva、Kasada、Google reCAPTCHA、hCaptcha、FingerprintJS、Arkose Labs 等供应商及其产品，并输出 JSON 报告与页面截图。适用于需要评估网站反爬机制、比较隐身浏览器有效性或排查被拦截原因的场景。使用前需安装并认证 Kernel CLI，准备 Bash、Node.js 22+ 与 jq，并设置 KERNEL_API_KEY。
security-scanning
Security Scanning 是一个面向 CI 流程的安全扫描技能，覆盖密钥泄露、依赖漏洞、SAST 静态分析、问题分级处置以及带过期时间的例外管理。它强调密钥问题快速失败并在暴露后轮换，依赖问题对严重和高危级别进行门禁并自动化更新，SAST 从高信号规则起步并逐步收紧。该技能还提出开源安全评估框架，从许可证风险、按严重度加权的 CVE、组件过时程度三个独立维度评估第三方组件，并以最差维度作为门禁依据。例外需要提供原因、负责人和过期时间。
threat-modeling
该技能用于在功能、系统或架构落地前开展结构化的威胁建模会话，覆盖 STRIDE、攻击树、数据流图（DFD）与滥用用例。适用于存在设计文档、功能规格或架构图但尚无代码的阶段，帮助识别安全风险并制定缓解措施。
windows-hardening
Windows Hardening 是一个用于加固 Windows 服务器的技能，依据 Microsoft 安全基线和 CIS 基准进行配置。它涵盖安全基线部署、账户策略、组策略安全设置、Windows 防火墙、审计策略、Windows Defender 以及 BitLocker 加密等。适用于新服务器加固、合规审计准备（SOC2、PCI-DSS、HIPAA）、安全事件后的配置以及域组策略安全标准建立。
firebase-auth
Firebase Authentication 是 Firebase 平台提供的身份认证服务，支持邮箱/密码、第三方 OAuth、电话认证、自定义令牌以及多因素认证（MFA）等登录方式。使用该服务可完成用户注册、登录、登出、密码重置、会话管理、JWT ID Token 验证与自定义 Claims（角色）设置，并能在客户端与服务端（Admin SDK）协同处理认证流程。适用于需要在 Web 应用中接入完整认证体系的场景。
security-scanning-security-sast
该技能是一个静态应用安全测试（SAST）插件，用于跨多种语言、框架和安全模式进行代码漏洞检测。它适用于代码审查安全分析、注入漏洞、硬编码密钥、框架特定模式、自定义安全策略执行、部署前验证、遗留代码评估以及合规性检查（OWASP、PCI-DSS、SOC2）。技能提供详细指南，并包含针对密钥扫描、OWASP Top 10 映射、REST/GraphQL 端点等专项工具文档。不适用于仅需运行时测试或渗透测试、无法访问源代码或构建产物、或环境禁止第三方扫描工具的场景。使用时需注意避免未经批准上传专有代码，启用自动修复或阻止发布前需人工审查。
syncfusion-blazor-security
该技能用于为浏览器托管的 Syncfusion Blazor 组件配置内容安全策略（CSP），适用于 Blazor Server、WebAssembly 及 Auto 渲染模式，覆盖自托管（Static Web Assets）与 CDN 两种资源加载方式。需在 App.razor 或 index.html 中添加 CSP <meta> 标签，并按需配置 font-src、style-src、script-src、connect-src、img-src、object-src 等指令；CDN 用户还需在 script-src 与 style-src 中追加 CDN 域名。
recon
面向授权渗透测试、CTF 挑战和漏洞赏金项目的结构化侦察与攻击面枚举技能。在执行任何命令前先确认用户拥有对目标的书面授权，且目标在既定范围内；若授权不明确则先询问，绝不假设已获授权。技能分三阶段推进：被动侦察阶段在不直接接触目标的情况下收集信息，包括 DNS 记录查询与区域传送尝试、通过证书透明度枚举子域名、WHOIS 注册信息、搜索引擎 dork 查询、技术栈指纹识别、公开代码仓库搜索以及 Wayback Machine 历史数据；主动侦察阶段仅在获得明确授权时进行，包括使用 nmap 进行端口扫描、基于开放端口的服务枚举、使用 gobuster、feroxbuster 或 dirsearch 进行 Web 内容发现、虚拟主机枚举、API 端点发现以及 SSL/TLS 分析；分析阶段则关联全部发现，按潜在影响严重性、可利用可能性和暴露程度对攻击向量排序。最终产出结构化侦察报告，包含目标、确认范围、日期、被动发现表格、发现的子域名、检测到的技术、主动发现表格、攻击面摘要及建议后续步骤。该技能强调边界约束：不得扫描范围外或相邻系统，对激进扫描限速以避免干扰，记录所有执行过的命令，发现第三方入侵证据时立即提醒用户，并拒绝无明确授权或针对无关目标的大规模扫描请求。相关参考包括 PTES、OWASP 测试指南和漏洞赏金方法论。
security-guidance
Security Guidance 是 OWASP Secure Agent Playbook 中的一项安全优先开发指导技能，基于 OWASP ASVS（应用安全验证标准）构建。它用于在规划或编写涉及安全敏感操作的代码时，自动提供对应的 ASVS 验证要求。技能以参考索引形式组织，覆盖编码与净化架构、注入防护、输入验证、业务逻辑安全、反自动化、浏览器安全、Web 服务、文件处理、认证、会话管理、授权等章节。使用时先根据任务匹配索引中的触发条件，再读取对应参考文件，按最安全选项实现要求，并以行内注释引用所满足的条款。若索引中无匹配项或指导冲突，技能要求停止并上报，而非猜测。
security-audit
security-audit 是一个面向游戏项目的安全审计技能，用于在公开发布或多人在线功能上线前，系统排查存档篡改、作弊途径、网络漏洞、数据泄露与输入校验等问题。它以 6 类审计分类扫描代码库，为每个发现项标注严重级别与状态，最终生成带修复优先级的安全审计报告，并给出发布建议（不予评估、可发布、发布前修复或禁止发布）。该技能运行于客户端技能体系内，需读取项目配置以确定引擎、语言与平台目标；在无法确认引擎 API 名称或代码范围时，相应分类会被标记为未评估，而非视为通过。
security-nextjs
该技能提供 Next.js 应用的安全审计模式，覆盖 App Router 与 Server Actions 场景。主要用于检查 NEXT_PUBLIC_* 环境变量泄露、Server Action 鉴权缺失、API 路由鉴权、middleware matcher 覆盖范围、输入校验、动态路由 IDOR、dangerouslySetInnerHTML 以及安全响应头配置等问题，并附带严重程度分级与快速 grep 检索命令。
gsd-secure-phase
中文介绍正在整理，稍后补充。
penetration-testing
渗透测试（Penetration Testing）是一个用于执行基础渗透测试与安全评估的技能，通过侦察、漏洞发现和利用技术来验证安全控制措施。该技能适用于在获得授权的前提下对目标系统进行安全测试，涵盖侦察、扫描、利用、后渗透和报告五个阶段，并提供 DNS 枚举、端口扫描、Web 扫描、SQL 注入测试等常用命令示例，同时强调书面授权、明确范围、记录一切等最佳实践。
oauth-integrations
该技能用于在 Cloudflare Workers 等边缘环境中实现 GitHub 与 Microsoft Entra（Azure AD）的 OAuth 2.0 认证。内容涵盖 GitHub OAuth 的必需请求头（如 User-Agent）、私有邮箱处理、令牌交换的 JSON 响应设置，以及 Microsoft Entra 在 Workers 中无法使用 MSAL.js 时的手动 OAuth 流程、所需作用域（含 User.Read、offline_access）、Graph /me 用户信息端点、租户配置、Azure 门户设置、令牌生命周期，并附常见错误与修正对照表。
devsecops-expert
DevSecOps 专家技能，专注于安全 CI/CD 流水线、左移安全、安全自动化与合规即代码。覆盖安全扫描（SAST、DAST、SCA）、基础设施安全（IaC 扫描、策略即代码）、容器与 Kubernetes 安全、密钥管理、供应链安全（SBOM、签名与溯源）以及合规自动化。强调以 TDD 方式先编写失败的安全测试再实现安全门禁，并提供增量扫描、并行分析、缓存扫描结果等性能优化模式。适用于在开发早期集成安全、构建自动化安全门禁、加固容器与集群、保护敏感数据与软件供应链等场景。