bx-esapi
bx-esapi 是 BoxLang 的 OWASP ESAPI 安全模块，用于输出编码、解码与 HTML 净化，提供 encodeForHTML、encodeForJavaScript、encodeForSQL 等 BIF，防范 XSS 等注入问题。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,311 个结果
llm-jailbreaking
该技能主题为大语言模型越狱技术，整理权威声明、假设场景、编码、分片及多向量绕过等攻击分类与成功率参考，并提供测试实现、严重度分级、防御规避与故障排查说明，用于 LLM 安全评估。
security-best-practices
面向语言与框架的安全最佳实践技能，用于编写默认安全代码、被动发现重大问题，或在用户明确要求时生成漏洞报告并建议修复。触发仅限用户显式请求安全最佳实践审查。
implement-access-control
Scalekit 技能：在路由上实现基于角色与权限的访问控制（RBAC），用 requireRole/requirePermission 守卫受保护接口，缺失角色或权限时返回 403，未认证返回 401。适用于需要角色、权限或 RBAC 的场景。
manage-saaskit-sessions
SaaSKit 会话管理技能，供智能体在应用中存储、校验、刷新和撤销会话。适用于需要处理会话刷新或撤销的场景，不负责登录、回调与登出跳转。
migrate-to-saaskit
用于将现有认证系统迁移到 SaaSKit 的技能，可审计并导入现有认证数据。适用于用户希望迁移到 SaaSKit，或替换 Auth0、Clerk 的场景；技能本身不编写首次登录、回调或登出逻辑。
run-dryrun
run-dryrun 是 scalekit-inc/authstack 技能，用于在正式上线前对 SaaSKit 认证配置做一次本地 dryrun 测试，支持默认 fsa 模式与需要组织 ID 的 sso 模式，运行后展示用户资料与令牌，便于判断认证是否配置成功。
content-security-policy
该技能用于审查网站是否实施内容安全策略（CSP），分析响应头指令、内联脚本处理、可信类型与 HTML 注入风险，帮助发现并缓解 XSS、点击劫持与数据注入问题，并强调 CSP 不能替代输出编码与净化。
twingate-idfw
Twingate 身份防火墙（Identity Firewall，IDFW）与 Twingate Gateway 专项技能，聚焦协议层的身份强制执行，覆盖 SSH、Kubernetes API 以及 HTTP/Web 应用的访问控制。该技能说明 Gateway 与 Connector 的本质区别：Connector 是网络层的透明 TCP 隧道，不理解协议；Gateway 是应用层的主动协议中介，能校验 SSH 证书、执行 K8s RBAC、并以反向代理方式向自托管 Web 应用注入签名 JWT 或可信标头。内容涵盖 Gateway 部署、X.509 与 SSH 证书颁发机构（CA）配置（本地或 Vault 支撑）、使用短期证书的 SSH 特权访问、kubectl 代理模式、会话录制、承包商访问模式，以及 Web 应用特权访问（Beta）。同时给出多条实践准则：SSH 用户名配置在网关 YAML 中而非管理控制台、生产环境应使用 HashiCorp Vault 作为 SSH CA、单实例为单点故障、需要配置两个 CA 等。适用于需要将登录用户身份传入自托管应用、实施协议级身份审计与最小权限访问的场景。
secure-code-review
secure-code-review 是一个面向安全代码审查的技能，覆盖输入验证、认证与会话管理、授权与访问控制、注入防护、密码学、错误处理与日志、数据保护、依赖安全、配置安全以及竞态条件共 10 个领域。它通过系统化清单逐项检查代码，将发现的问题映射到 CWE 标识与严重级别（CRITICAL/HIGH/MEDIUM/LOW/INFO），并生成包含修复建议与概念验证说明的报告。该技能为手动审查设计，无需外部工具，可与 Semgrep、CodeQL、Bandit 等静态分析输出配合使用，适用于 PR 审查、发布前安全验证、遗留代码库梳理以及漏洞披露的根因分析。
x-security
x-security 是 x-cmd CLI 的安全评估与漏洞管理技能，提供 Shodan 网络侦察、OSV 开源依赖漏洞扫描和 KEV 已知被利用漏洞目录等终端工具，面向安全人员、开发者与系统管理员。
input-validation
输入校验与清洗模式技能，用于处理用户输入、查询参数、表单、API 请求体、文件上传和 URL 校验，防止注入攻击。基于 Zod v4 与 Pydantic，强调服务端校验、允许列表、类型强制转换、文件魔数检查与参数化查询。
DDoS Attack Testing
该技能用于在获得授权的前提下开展拒绝服务（DoS/DDoS）测试，评估网络抗压能力，并配置 Snort IDS 以检测和告警各类 DoS 攻击模式。内容覆盖基于流量、基于协议与基于应用层的攻击测试，使用命令行与图形界面工具（如 Hping3、Slowloris、GoldenEye、LOIC、HOIC），并结合 Snort 规则配置进行检测。技能包含完整工作流：理解攻击分类、TCP SYN/UDP/SYN-FIN/PUSH-ACK/RST/FIN 洪泛测试、ICMP Smurf 放大测试、应用层测试与 GUI 压测，以及检测规则编写、流量分析、故障排查与缓解建议。
Phishing Attacks
本技能介绍钓鱼攻击模拟工具与技术，用于授权渗透测试和安全意识培训。内容涵盖钓鱼攻击类型（邮件钓鱼、鱼叉式钓鱼、鲸钓、语音钓鱼、短信钓鱼、克隆钓鱼、WiFi钓鱼）、Shellphish与Wifiphisher工具的安装与使用、邮件钓鱼最佳实践、检测与防御方法、安全意识培训，以及约束与报告要求。仅限教育和已授权渗透测试用途，严禁未经明确书面授权实施钓鱼攻击。
PowerShell Scripting for Security
面向安全自动化、渗透测试与系统管理的 PowerShell 脚本技能，涵盖变量、运算符、控制结构、函数、模块、错误处理及端口扫描、密码生成、日志分析等安全脚本示例，供红队与安全评估使用。
Red Team Tools and Methodology
面向红队与漏洞赏金场景的工具与方法论指南，覆盖侦察、子域枚举、存活探测、指纹识别、内容发现、XSS 与漏洞扫描等流程，含常用命令与自动化脚本示例。
cyberstrike-eino-demo
CyberStrike × Eino 满配技能演示包，用于验证 Eino skill 与 HTTP 包内路径读取，包含 SKILL.md 及 scripts/、references/、assets/ 等目录，仅限授权安全测试与教学。
security-best-practices
面向 Web 应用与基础设施的安全最佳实践技能，用于新建项目、安全审计、加固对外 API 及满足 GDPR、PCI-DSS 等合规要求，覆盖 HTTPS、安全头、输入校验、CSRF、密钥管理与 JWT 认证。
alibabacloud-aisc-skill-inspection
阿里云 AISC Skill 安全检查技能：把 Skill 压缩包提交到阿里云 Agent Security Center 扫描，轮询检测任务并解读 check-report.json 风险报告，用于判断 Skill 是否含恶意代码、提示词注入、硬编码凭据或敏感数据。
security-review
security-review 是一个面向当前分支待提交改动的安全审查提示词，要求以高级安全工程师视角，基于 git status、修改文件、提交记录与完整 diff 排查高置信度安全漏洞，重点覆盖注入、认证授权、加密与密钥、代码执行和数据暴露等问题。
head_pose_estimation
基于 MediaPipe Face Mesh 与 PnP 的头姿估计技能，计算头部偏航、俯仰、翻滚角，用于活体检测中的转头挑战及会话开始时的人脸正对校验。
sharp-edges
sharp-edges 是一个安全设计审查技能，用于识别易被误用的 API、危险配置与“脚枪”式设计。适用于评估 API、配置模式、加密接口与认证授权界面的抗误用能力，帮助让安全用法成为阻力最小的路径。
static-analysis
静态分析工具集，涵盖 CodeQL、Semgrep 与 SARIF 解析，用于安全漏洞检测，适合扫描代码库、编写自定义查询与规则、处理 SARIF 结果及接入 CI/CD。
cicd-posture
cicd-posture 是 Endor Labs Agent Kit 生成的只读技能，用于评估 Endor 命名空间、GitHub 组织或仓库集合的 CI/CD 与供应链安全态势，输出固定 JSON 评分报告；不修改任何文件、分支或 Endor 状态。