repository-dependency-reviewer
该技能用于在源码仓库内执行只读的依赖风险审查：检查本地依赖清单，解析精确的直接依赖坐标，并借助 Endor MCP 工具汇总依赖风险，输出结构化 JSON。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,315 个结果
vulnerability-explainer
Endor Labs 推出的漏洞解释技能（vulnerability-explainer），用于帮助开发者理解某个具体漏洞（如 CVE、GHSA 或 Endor 漏洞 UUID）并给出基于证据的后续行动建议。只读、不做扫描或修改，输出结构化 JSON。
commit-security-scan
commit-security-scan 是一个基于 LLM 推理的安全扫描技能，用于分析代码变更（提交、PR、diff）中的安全漏洞。它直接读取代码，并结合仓库威胁模型中的模式，识别覆盖全部 STRIDE 类别的问题。适用于 PR 审查、提交前检查、分支对比和代码审查辅助。使用前需要仓库中存在 .factory/threat-model.md 和 .factory/security-config.json 两个文件；若缺失，技能会先自动调用 threat-model-generation 技能生成它们。扫描范围可由用户指定，如 PR、提交区间、单个提交、暂存变更、未提交变更、分支对比或最近 N 次提交。分析过程按 STRIDE 分类系统检查漏洞，追踪数据流，评估严重程度与置信度，最终生成 security-findings.json 报告并汇总结果。
vulnerability-validation
该技能用于验证提交安全扫描发现的安全问题，评估其可利用性、过滤误报并生成概念验证利用代码，输出 validated-findings.json，供漏洞确认、修复前评估和 PR 阻断决策使用。
file-upload
用于分析源代码中文件上传漏洞的安全技能，可检查仅客户端校验、缺少内容类型与魔数校验、文件名路径穿越、上传至可执行目录及 Zip Slip 等问题，支持 semgrep、bandit、brakeman 扫描与人工代码分析。
oracle-confidentiality
Oracle Confidentiality 是一个用于 Oracle 交付物的保密合规技能，提供交付前审计、代号强制与内容脱敏，并拥有否决权：检查不通过则阻止交付。适用于向客户交付文档、提交客户目录内容到 git 或生成涉及客户上下文的材料之前。
codereview-scan
codereview-scan（OCR 全文件扫描）用于审计旧仓库、指定目录或无合适 Git diff 的完整文件；执行前先确定扫描范围、模型与预算，报告中说明覆盖与遗漏，不把全文件扫描当作提交前审查。
linux-platform-security
该技能用于分析 Linux、SteamOS、Steam Deck、Wine 或 Proton 环境下的游戏安全边界。其用途包括审查 ELF/进程证据、权限、命名空间、seccomp、LSM 等隔离机制，并在解读行为前记录内核、发行版、运行时、兼容层、容器或命名空间状态以及生效策略。资料未提供具体安装命令、收费信息或使用步骤。
security-by-design
Security by Design 是一套将安全前置到开发早期的策略原则，强调默认安全、纵深防御、最小权限、安全失败、不信任输入等，并给出静态站点与 CI/CD 的落地做法。
iblai-api-agent-audit
通过 ibl.ai 平台 API 读取指定智能体的审计日志，提供“谁改了什么”的可筛选记录，只读、不会修改任何状态。可按操作代码、操作者邮箱与日期范围过滤，适合排查智能体配置变更。
iblai-api-agent-privacy
通过 ibl.ai 平台 API 配置智能体的隐私路由器：启用 PII 检测、选择 redact/mask/block 动作、指定实体类型、设置拦截响应并开启输出过滤，还可查看租户只读的 PII/PHI 检测审计日志。
iblai-api-token
iblai-api-token 用于通过平台 API 管理组织的 Platform API Token：列出、创建（密钥仅显示一次）、按名称查询、更新与删除。Token 以 platform_key 为范围，权限由 owner 或 token_policies 模式决定。
insecure-temp-files-anti-pattern
针对不安全临时文件（CWE-377）的安全反模式技能，用于生成或审查创建临时文件、处理文件缓存等代码，指出可预测文件名、不安全权限与缺少清理三类风险并给出安全写法。
noir
OWASP Noir 是一款 API 与攻击面扫描工具，通过静态分析源码发现 REST、GraphQL、WebSocket 等端点，用于攻击面测绘、影子 API 检测和渗透测试前侦察。支持多种语言框架与 JSON、YAML、SARIF、OpenAPI 等输出格式。
code-analyzer
code-analyzer 是一个只读的项目审计技能，用于对代码库进行全面检查并生成结构化报告，覆盖缺陷、安全漏洞、代码质量、性能、测试与文档缺口等维度。它只诊断不修改代码，每条发现都指向具体文件位置，供用户自行决定修复优先级。
security-review
面向代码变更的安全审查技能，可在任意 AI 编码代理中运行，方法对齐 Claude Code 的 /security-review 命令。只报告置信度超过 80% 且可被利用的新引入漏洞，两轮过滤误报，输出精简 Markdown 报告。
openclaw-threat-detect
OpenClaw 攻击模式检测工具，可识别数据外传、反弹 Shell、文件泄露、凭证窃取、持久化及 Prompt 注入等 AI Agent 场景高危行为，并支持 MITRE ATT&CK 映射与分级告警。
skill-security-auditor
Skill Security Auditor 是面向 OpenClaw Skills 的全生命周期安全审计工具，检测供应链投毒、Prompt 注入、恶意代码模式、权限越权与依赖风险，为 Skill 安装和更新提供安全门禁。
audit-payment-system
audit-payment-system 是一个只读的支付与资金流转代码审计技能，覆盖从 Stripe Checkout 到自建账本的场景，用于排查重复扣款、资金丢失、卡数据泄露等问题，输出按严重程度排序的审计报告，不修改代码。
audit-resilience
audit-resilience 是一个只读的生产环境韧性审计技能，用于在代码上线前发现非功能性缺陷。它针对外部调用、数据写入、Webhook、支付、队列与定时任务等关键路径，检查超时、带抖动的有界重试、熔断、幂等性、限流、取消、优雅降级、错误传播、审计日志、日志中的 PII 以及结构化错误等维度。该技能通过固定的 rg 命令扫描代码表面，按“已实现/部分实现/缺失”分类并标注 file:line，对支付或 Webhook 缺少幂等键、活跃路径缺少超时等给出 Critical 级别，最终输出按优先级排序的只读报告，并将每个缺口指向对应的修复技能。它不修改任何代码，也不以测试通过作为生产就绪的依据。
credential-setup
面向 ESP32 项目的凭据处理规范化技能：为 ESP-IDF 与 ESPHome 项目建立 credentials.h/credentials.h.example 或 secrets.yaml 模板，并检查 .gitignore 与 pre-commit 保护，避免敏感信息入库。
security-patterns
面向 PHP 项目的语言级安全编码模式技能，在代码开发或质量审查涉及 PHP 安全问题时调用，提供输入校验、SQL 注入防护、XSS 防护、CSRF、密码与会话安全、文件上传、路径与命令注入防护、XXE、安全随机数、HTTP 安全头与错误处理等模式。
threat-modeling
威胁建模技能，提供 STRIDE、DREAD、攻击树等系统化方法，用于识别、量化并处理软件安全威胁，支持威胁建模即代码及与 SDLC 集成，实现主动安全设计。
better-auth
Better Auth 是一个与框架无关的 TypeScript 身份认证与授权框架，内置邮箱/密码、社交 OAuth、邮箱验证、密码重置、会话管理与限流，并通过插件扩展 2FA、Passkeys、Magic Link、用户名登录与组织多租户等能力。