SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
7,319 个结果
该技能用于在源代码中分析访问控制类安全漏洞。当用户要求检查访问控制问题、分析授权逻辑、查找 IDOR 漏洞、审计 CORS 配置时使用。覆盖 OWASP A01:2021 类别，包括缺失授权检查、不安全直接对象引用、CORS 配置错误、JWT 篡改、目录遍历和权限提升等问题，覆盖 CWE-200、CWE-284、CWE-285、CWE-352、CWE-639、CWE-862、CWE-863。技能会先确定分析范围，检测可用的扫描器（semgrep、bandit、brakeman），运行扫描并归一到统一结果结构，同时无论扫描器是否可用都进行人工代码分析：清点路由并检查授权中间件、验证对象访问的所有权检查、审查 CORS 配置、检查 JWT 验证、检查路径遍历防护、检查角色权限覆盖。结果按统一格式输出，使用 AC 前缀编号。
用于审计 REST 与 RPC API 安全性的技能，对齐 OWASP API Security Top 10（2023），重点检测 BOLA、批量赋值、缺失限流、功能级授权缺陷与过度数据暴露，并输出带 CWE 与修复建议的发现报告。
AppSec 安全配置管理技能，用于管理 .appsec/config.yaml 中的持久化安全偏好，控制所有 /appsec:* 工具的默认行为，包括扫描范围、深度、严重度过滤、扫描器路径、启用的钩子、已接受风险与排除路径。
data-disclosure 是一个用于分析源代码中个人数据泄露威胁的技能，基于 LINDDUN D2 框架。它扫描日志、API 响应、第三方共享、错误处理、缓存等环节，识别 PII 暴露风险，支持多种深度与范围标志，并生成带修复建议的发现报告。
pasta 是一个按严格顺序调度 7 个 PASTA 威胁建模阶段的 Claude Code 技能，由 /appsec:pasta 或“PASTA 威胁模型”等请求触发。它串联业务目标到风险影响分析，将各阶段输出依次传递，支持 --scope、--depth、--severity、--format、--only、--fix、--quiet、--explain 等标志。
面向 CIA 平台的安全威胁建模技能，采用 STRIDE、PASTA 与攻击树方法识别、分析并缓解安全威胁，覆盖身份伪造、数据篡改、抵赖、信息泄露与拒绝服务等场景，配合 Hack23 ISMS 要求用于安全设计评审。
合规检查清单技能，提供跨 ISO 27001:2022、NIST CSF 2.0、CIS Controls v8.1、NIS2、EU CRA、GDPR、SOC 2、PCI DSS、HIPAA 的多框架合规映射，展示单一 ISMS 控制集如何同时满足多个国际框架与法规要求。
开源治理技能，用于规范开源软件的使用、贡献与发布，涵盖许可证合规、依赖管理、贡献指南和供应链安全，帮助项目满足许可证要求并降低供应链风险。
面向 GitHub Pages 上静态 HTML/CSS 网站的静态站点安全实践技能，讲解静态站点的安全优势、HTTPS 与安全响应头配置、SRI 完整性校验、依赖与访问控制、CDN 与 DNS 安全、监控告警、事件响应及部署与测试流程。
Solidity 语言与编译器技能，基于官方文档整理，涵盖源码布局、类型系统、合约结构、控制流、安全实践、编译器用法以及 ABI 与内部机制，供 EVM 智能合约开发参考。
SonarQube Audit 是一个按 SonarQube 规则审计整个代码库并生成 Markdown 健康报告的技能，报告输出到项目的 sonarqube-reports/ 目录，反映代码当前真实状态。报告语言为 pt-BR，执行期间终端不输出中间文本。
面向 Java Spring Boot 服务的 Spring Security 最佳实践技能，覆盖认证授权、输入校验、CSRF、密钥管理、安全响应头、限流与依赖安全扫描，适用于新增认证、处理输入、编写接口或管理密钥的场景。
在记录、宣称严重性或撰写安全发现前使用的纪律技能：确立“无证据不得标记 [CONFIRMED]”的铁律，提供分级、证据门槛与校验流程，避免误报。
该技能用于在安全测试项目开始时、利用前或攻击面变化时建立并校验威胁模型，检测未审查的漂移。它要求以 JSON 形式列出资产、入口点、信任边界、ATT&CK 技术和缓解措施，并提供 lint 与 drift 命令。
针对 OS 命令注入漏洞（CWE-78）的安全反模式技能，用于在生成或审查执行 shell 命令、调用系统程序的代码时识别并修复命令注入风险，覆盖 Python、JavaScript/Node.js、Java、PHP 等语言的检测与防护要点。
OWASP Depscan 是新一代软件成分分析（SCA）工具，用于扫描依赖漏洞、生成 SBOM、VDR、CSAF 2.0 VEX 文档，并支持许可证合规审计与风险评分。
加密隧道安全模式：在通信通道层面用TLS/SSH对端点间所有交互进行透明加密，适用于HTTPS实现与端点间安全通信配置。
加密与解密的安全模式，用于保护数据机密性。资料给出角色、数据元素、动作流程，以及对称/非对称算法、AES 密钥长度、GCM/CCM 等推荐模式与安全注意事项，适合在实现加密功能、选择算法与模式时参考。
针对过度数据暴露（CWE-200）的安全反模式，用于生成或审查 API 响应、数据库查询与数据序列化时识别并防范因返回多余数据导致的敏感信息泄露，严重级别高。
针对 LDAP 注入漏洞（CWE-90）的安全反模式技能，用于在生成或审查构造 LDAP 过滤器、查询目录服务的代码时，识别并避免未转义用户输入导致的注入风险。
针对哈希长度扩展攻击（CWE-328）的安全反模式技能，用于生成或审查使用 hash(secret + message) 构造消息认证码的代码，指导改用 HMAC 并做常量时间比较。
针对日志注入漏洞（CWE-117）的安全反模式技能，用于在编写或审查写入日志文件、记录用户输入的代码时识别与防范日志注入。
针对批量赋值（Mass Assignment，CWE-915）安全反模式的技能，用于在生成或审查由用户输入创建、更新对象的代码时识别并防范该漏洞。资料说明其危害为高，攻击者可通过注入未授权属性（如 isAdmin: true）提权或修改受保护字段。
针对填充预言（Padding Oracle，CWE-649）漏洞的安全反模式技能，用于在生成或审查 CBC 模式解密代码时识别并规避该风险。资料说明其高危性、检测方法与防护建议，并给出易受攻击与安全实现的代码示例。