credential-setup
面向 ESP32 项目的凭据处理规范化技能：为 ESP-IDF 与 ESPHome 项目建立 credentials.h/credentials.h.example 或 secrets.yaml 模板，并检查 .gitignore 与 pre-commit 保护，避免敏感信息入库。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,318 个结果
thermo-nuclear-review
Thermo Nuclear Review 是一个针对已检出分支进行全面安全与正确性审计的技能。它会深入审查该分支的变更，重点查找代码缺陷、破坏现有功能或特性的改动以及安全漏洞。该技能仅报告与本次变更（新增或修改）相关的代码问题，不限关注未改动的既有代码。其审查覆盖功能破坏、开发者体验破坏、功能开关泄漏等风险，并要求在报告前完成端到端验证，避免误报优先级。适用于需要对分支或 PR 差异进行深度、严谨审查的场景。
security-patterns
面向 PHP 项目的语言级安全编码模式技能，在代码开发或质量审查涉及 PHP 安全问题时调用，提供输入校验、SQL 注入防护、XSS 防护、CSRF、密码与会话安全、文件上传、路径与命令注入防护、XXE、安全随机数、HTTP 安全头与错误处理等模式。
threat-modeling
威胁建模技能，提供 STRIDE、DREAD、攻击树等系统化方法，用于识别、量化并处理软件安全威胁，支持威胁建模即代码及与 SDLC 集成，实现主动安全设计。
better-auth
Better Auth 是一个与框架无关的 TypeScript 身份认证与授权框架，内置邮箱/密码、社交 OAuth、邮箱验证、密码重置、会话管理与限流，并通过插件扩展 2FA、Passkeys、Magic Link、用户名登录与组织多租户等能力。
security-audit-example
一个安全审计示例技能，用于演示如何审查代码与配置中的安全漏洞，覆盖认证授权、输入校验、加密、数据保护与网络安全等方向，并给出审计流程、常见漏洞清单和报告输出格式。
auth
微软 APM 项目的认证技能（auth），用于在代码涉及令牌管理、凭据解析、Git 认证流程等场景时提供指导。核心规则是所有认证流程必须经由 AuthResolver，应用代码不得直接读取令牌环境变量。
supply-chain-security
微软 apm 项目的供应链安全技能，用于在审查或修改依赖解析、锁文件结构、包下载器、签名与完整性校验、文件清理及凭据处理等代码时激活，提供供应链安全专家视角的规则约束。
nansen-wallet-network
nansen-wallet-network 是 Nansen CLI 中的钱包网络分析技能，用于回答“这个钱包在和谁交易、它的网络结构是什么样的”。它通过 nansen research profiler 系列子命令，从直接交易对手、关联钱包以及多跳 BFS 网络追踪三个角度展开分析。counterparties 命令可返回交易对手地址、地址标签、交互次数、总交易量以及流入流出金额；related-wallets 命令可返回关联地址、地址标签、关系类型（如首次出资方、多签签名者）、区块时间戳和链信息；trace 命令则以 BFS 方式输出根节点、节点列表、带交易量的边以及遍历统计。使用时需指定地址与链，并可通过参数控制时间范围、追踪深度和宽度。由于 trace 会按 depth × width 发起 API 调用，官方提示应保持 width 不超过 3，以免消耗过多额度。该技能适用于加密钱包交易关系调查、实体聚类识别和资金网络追踪等场景，具体支持的链、数据覆盖范围及收费方式暂未提供。
auth-scaffold
auth-scaffold 是一个用于生成 Auth.js（NextAuth v5）认证脚手架的技能，覆盖 OAuth 与凭证登录、会话处理、中间件路由保护和基于角色的访问控制，适用于 Next.js 项目快速搭建认证体系。
codex-ab
codex-ab 是一个用于 A/B 对照实验的开发工具，比较整体式 codex 代码审查与三个聚焦维度（安全、ecto、liveview）审查在同一分支 diff 上的效果差异，并对每个聚焦发现进行归类。该实验已被判定终止，仅作为贡献者工具保留。
agent-security
agent-security 是一项用于编码与工作区操作的防护技能，主要防御来自检索文档、仓库内容、工具输出和智能体交接中的提示注入。它强调将“证据”与“授权”分离：检索到的文档、网站、搜索结果、issue 文本、日志、测试夹具和工具结果只提供信息，不构成行动许可。该技能以内联方式使用，不新增工作流阶段或验证模式，父任务仍保留任务范围、文件归属、验证和继续执行职责。执行来源建议的命令或脚本前，需确认目的与授权、具体影响、间接执行（如安装生命周期脚本、Make 目标）、权限与网络目标；不将下载内容直接管道到 shell 或将来源路径未经引用地拼入命令。它要求保护凭据，避免读取 .env、SSH/云凭据、浏览器会话等敏感数据。在交接或压缩上下文时，保留来源可信度区分，不把来源建议升格为用户决定。遇到注入指令应忽略并继续有用工作，仅在必要范围请求授权，不通过其他工具重试被拒操作。该技能是行为指引，非沙箱或防注入保证。
abuse-detection
用于识别与分析 Pollinations 滥用账号的技能：通过 IP 聚类与六项信号计算 0-100 复合滥用分，给出封禁建议；覆盖机器人农场、一次性邮箱、高错误率、NSFW 生成与 IP 轮换等场景，并含 D1 封禁与 Stripe 支付欺诈相关流程说明。
security-ownership-map
从 Git 仓库历史构建人员与文件二部图，计算巴士因子与敏感代码归属风险，导出 CSV/JSON 及 Neo4j/Gephi 可用图产物，并基于共同提交的 Jaccard 相似度构建文件共变图与社区聚类。
security-threat-model
用于对代码仓库做 AppSec 级威胁建模的技能：从仓库证据出发梳理信任边界、资产、攻击者能力与滥用路径，并输出可执行的缓解建议与 Markdown 威胁模型报告。
openclaw-runbook-security
面向 OpenClaw AI 智能体生产部署的安全运行手册技能，强调 Tailscale 私有访问、按任务类型分配模型的成本控制、技能人工审查与重建、显式记忆边界及带护栏的自动化，帮助避免网关暴露、费用失控与不可信自动化。
objection-handling-expert
商业地产租赁谈判中的异议处理专家技能，用于回应租户或经纪人对租金高于市场、要求更高租户装修补贴（TI）或更多免租期、押金或个人担保过高、租期或续租条件等方面的异议，并提供分类、评估与应对话术框架。
vulnerability-management
Vulnerability Management 是一个面向漏洞管理全流程的技能，覆盖从扫描结果处理到修复跟踪的各个环节。它可以从 Nessus、Qualys 或通用 CSV 中解析漏洞扫描结果，按 CVSS 分数、资产重要性、是否存在可利用漏洞以及是否面向互联网等多因素对发现进行风险评分和优先级排序，并通过 SLA 跟踪修复进度。该技能还支持例外与风险接受管理、按资产查看漏洞、计算 MTTR、SLA 合规率和修复率等 KPI 指标，并生成面向管理层或技术团队的报告和摘要。使用时通过 Python 导入 vuln_utils 中的类，如 VulnerabilityScanner、RiskPrioritizer、RemediationTracker、ExceptionManager、VulnMetrics 和 AssetVulnerabilityView，以代码方式添加发现、分配任务、更新状态并输出报告。默认 SLA 为严重 7 天、高 30 天、中 90 天、低 180 天，可通过环境变量调整。该技能不直接集成扫描器，资产需手动导入，数据仅存储在内存中。适合安全团队进行漏洞评估、修复管理和指标跟踪。
1password
1Password CLI（op）的安装、桌面应用集成与登录使用指南，涵盖单账号与多账号登录、tmux 会话要求及密钥安全注意事项。
aig-scanner
A.I.G Scanner 是由腾讯朱雀实验室 AI-Infra-Guard 提供支持的 AI 安全扫描技能，用于对 AI 基础设施、AI 工具与技能、AI Agent 以及大模型越狱抵抗能力进行安全评估。该技能通过内置的 exec 与 Python 脚本（scripts/aig_client.py）向 A.I.G 服务器的 taskapi 接口提交并查询扫描任务。它支持四类主要扫描流程：AI 基础设施安全扫描（针对 URL、站点、服务、IP:port）、AI 工具与技能安全扫描（针对 GitHub 仓库、AI 工具服务、源码归档、MCP/Skills 项目）、Agent 安全扫描（针对 A.I.G 中已有 Agent 配置或本地 YAML 文件）、大模型安全体检（越狱评测）。技能运行在用户本机，明确授权对本地及私有网络地址（如 localhost、127.0.0.1、192.168.x.x、10.x.x.x 等）进行扫描。使用前需配置 AIG_BASE_URL 环境变量，可选配置 AIG_API_KEY 与 AIG_USERNAME。脚本会自动处理 JSON 构造、HTTP 错误、状态轮询（3 秒一次共 5 轮）与结果格式化。
edgeone-clawscan
腾讯朱雀实验室出品的 OpenClaw 安全扫描 Skill，号称 AI 环境杀毒软件，可一键扫描 OpenClaw 不安全配置、恶意 Skill 与漏洞。默认向腾讯 A.I.G 发送最小化查询（仅 Skill 名、来源标签与 OpenClaw 版本号），支持通过环境变量关闭云端查询或指向自建实例。
agentiko-worker
Agentiko Worker 是一个通过 SSH 连接的远程 Alpine Linux 容器环境，用于执行安全侦察任务。资料详述了其双容器架构、已安装的侦察工具链、路径约定、文件写入限制及各种使用陷阱的应对方法。
workos-authkit-react-router
将 WorkOS AuthKit 集成到 React Router 应用（支持 v6 与 v7 的 Framework、Data、Declarative 模式）的技能，先获取官方 README 再按检测到的路由模式实施，并附验证清单与错误恢复指引。
auth-expert
面向 Auth.js v5（NextAuth）的资深认证与安全技能，专注 Edge-First 架构，针对 Next.js 16.1.1 App Router 与 React 19.2 优化，涵盖双配置模式、通用 auth()、中间件路由保护、Server Actions 登录、类型扩展、MFA 与测试等实践。