Top 100 Web Vulnerabilities Reference
面向 Web 安全测试与加固的结构化漏洞参考技能，系统整理 100 个常见 Web 应用漏洞，按 15 大类组织，覆盖注入、认证与会话、敏感数据暴露、配置错误、访问控制、反序列化、API 安全、传输安全、客户端漏洞、拒绝服务与 SSRF 等主题。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,319 个结果
Wi-Fi Penetration Testing
面向授权无线安全审计的 Wi-Fi 渗透测试技能，覆盖网卡监听模式配置、网络发现、WEP/WPA/WPA2 握手包捕获与破解、WPS 攻击及连入后的中间人测试，基于 aircrack-ng、reaver、hashcat 等工具。
audit-logging-workers
为 Cloudflare Workers 项目添加结构化审计日志，并将日志以不可变方式存储到 R2。该技能会创建一个类型化的审计工具、为所有 API 路由埋点、部署一个 tail worker，把审计事件以 NDJSON 格式按日期/小时分区写入 R2 存储桶，并可通过 Object Lock 实现合规保留。适用于需要可追溯安全事件记录、满足 PDPA 2024 合规要求的场景。
security-headers
安全响应头技能，为每个 HTTP 响应添加 CSP、HSTS、X-Frame-Options、Permissions-Policy 等安全头，防止点击劫持、XSS 和数据泄露。提供 Cloudflare Workers、Express/Node.js、Next.js、Laravel/PHP 可直接复制的中间件实现，并给出 CSP 分级配置、需移除的泄露信息头、验证方法与 PDPA 2024 相关说明。
pentest-output-standards
面向渗透测试工作流的输出规范技能，规定中文分析与英文命令的语言边界、每步思维链、漏洞报告模板、负结果记录、图状态总览、写入改动台账与回滚要求，以及多轮负结果后的死锁突破流程。适用于汇报发现、维护改动台账或格式化渗透测试输出。
alipay-payment-feedback
支付宝官方提供的支付技能问题反馈工具，用于在用户使用 alipay-authenticate-wallet、alipay-pay-for-service 或 alipay-pay-for-402-service 技能遇到无法自行解决的问题时，匿名向支付宝官方提交问题描述。
eks-security
面向 Amazon EKS 的安全与合规指导技能，按 7 层安全栈与合规制度视角组织，覆盖节点加固、身份访问、工作负载安全、镜像供应链、运行时检测、审计日志与合规加速器，强调先做发现式提问再给建议。
1claw
1Claw 是面向 AI 智能体的密钥保险库，用 HSM 硬件加密保存 API 密钥、密码和凭据，智能体在运行时通过 MCP 或 REST API 取用，而不是把凭据写进提示词。默认零访问，需人工授予路径级策略。
multi-search-engine
多搜索引擎集成技能，支持16个搜索引擎（7个国内+9个国际），无需API密钥即可进行网页搜索。支持高级搜索运算符、时间过滤、站内搜索、隐私引擎及WolframAlpha知识查询，通过web_fetch执行并聚合结果。
security-auditor
Security Auditor 是一个面向应用安全审计与安全编码的技能，基于 OWASP Top 10 框架审查代码与架构，识别漏洞并给出可执行修复建议，覆盖访问控制、加密、注入、XSS、安全配置、认证流程、输入校验、密钥管理与依赖安全等主题。
audit
用于分析 npm audit 结果的安全审计技能：区分真实威胁与传递依赖噪音，给出可执行修复建议，并可按严重程度与是否可利用进行分类。
competitive-analysis
一个竞争分析技能，帮助用户理解竞争格局并制定应对策略。它基于49位产品负责人的框架，强调把现状、替代方案与变通做法纳入竞争集合，判断威胁来自功能、分发还是商业模式，寻找难以复制的非对称优势，并设计兼顾竞争意识与客户导向的回应。
roth-detection-engineering
基于 Florian Roth 检测工程方法论的安全技能，聚焦 YARA 与 Sigma 规则的编写、转换与质量评估，强调可移植检测逻辑、社区共享与签名管理。
cors_policy
用于控制 KYC API 允许的前端跨域来源的 CORS 策略技能，避免通配符配置导致恶意网站以已认证用户身份发起请求。
encryption_tls
该技能要求系统所有通信至少使用 TLS 1.3，并在内网传输前对生物识别图像额外加密。资料给出 Kubernetes 证书管理、Nginx 配置、HSTS、Istio mTLS、AES-256-GCM 加密及验证等要点。
font_consistency_analyzer
用于检测身份证件文本中可能暴露数字编辑的字体不一致问题，通过分析笔画宽度、字距和文本对齐等视觉特征，辅助识别被篡改的字段。
human_review_queue
human_review_queue 是一个面向歧义验证案例的人工复核队列系统，支持响应 SLA、优先级排序与复核人之间的负载分配，用于自动决策分数落入模糊区间或硬规则要求人工介入时。
isolation_forest
基于 Isolation Forest 的无监督异常检测技能，用于识别会话中可能指示欺诈的异常模式。
vpn_proxy_tor_detection
通过 IP 检测匿名连接（VPN、代理、Tor）的技能，用于反欺诈场景，作为增加欺诈评分的风险信号，本身不直接阻断。优先本地 Tor 出口节点列表匹配，必要时回退到外部 API。
threat-modeling-expert
威胁建模专家技能，专注 STRIDE、PASTA、攻击树与安全需求提取，用于安全架构评审、威胁识别和设计即安全系统建设。
sops-age-secrets
基于 SOPS 与 age 的密钥管理方案，用于在 Git 仓库中加密保存敏感信息。使用 AES256-GCM 加密数值，age 提供 X25519 密钥对。支持加密、解密、编辑、更新接收者与轮换数据密钥，并可集成 CI/CD。
security-environment-standards
该技能为 Web 应用提供安全与环境配置标准，涵盖无密码魔法链接认证、环境变量管理、会话与上传安全、正则转义、密钥管理及生产部署清单，并附相关源码文件位置说明。
access-control
该技能用于在源代码中分析访问控制类安全漏洞。当用户要求检查访问控制问题、分析授权逻辑、查找 IDOR 漏洞、审计 CORS 配置时使用。覆盖 OWASP A01:2021 类别，包括缺失授权检查、不安全直接对象引用、CORS 配置错误、JWT 篡改、目录遍历和权限提升等问题，覆盖 CWE-200、CWE-284、CWE-285、CWE-352、CWE-639、CWE-862、CWE-863。技能会先确定分析范围，检测可用的扫描器（semgrep、bandit、brakeman），运行扫描并归一到统一结果结构，同时无论扫描器是否可用都进行人工代码分析：清点路由并检查授权中间件、验证对象访问的所有权检查、审查 CORS 配置、检查 JWT 验证、检查路径遍历防护、检查角色权限覆盖。结果按统一格式输出，使用 AC 前缀编号。
api
用于审计 REST 与 RPC API 安全性的技能，对齐 OWASP API Security Top 10（2023），重点检测 BOLA、批量赋值、缺失限流、功能级授权缺陷与过度数据暴露，并输出带 CWE 与修复建议的发现报告。