password-based-authentication-pattern
基于密码的身份认证安全模式，用于设计用户名/密码登录系统与密码存储。资料给出角色组件、数据元素、哈希与加盐/胡椒要求、注册与重置流程、密码策略及安全注意事项，并附实现检查清单。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,320 个结果
path-traversal-anti-pattern
针对路径遍历漏洞（CWE-22）的安全反模式技能，用于在生成或审查处理文件路径、读写文件的代码时识别并防范目录穿越风险。
selective-encrypted-transmission-pattern
选择性加密传输安全模式：在不可控信道上传输前，仅对特定敏感数据元素做字段级加密。发送方直接调用加密库加密必要部分，接收方解密。适用于只有部分数据敏感、不同数据需不同密钥、应用需自行控制加密的场景。
session-based-access-control-pattern
会话式访问控制安全模式：先通过会话 ID 完成身份认证，再依据主体权限进行授权，两者都通过才执行操作。适用于需要同时处理用户认证与授权的 Web 应用安全场景。
verbose-error-messages-anti-pattern
针对 CWE-209 的“详尽错误信息”安全反模式技能，用于在编写或审查错误与异常处理代码时，避免把堆栈跟踪、数据库错误、文件路径和配置细节等内部信息暴露给用户，并在生产环境抑制详细报错。
verifiable-token-based-authentication-pattern
可验证令牌认证安全模式：主体凭自包含令牌完成认证，系统无需查询存储证据即可验证令牌未被篡改且未过期。适用于无状态认证、内嵌声明的令牌设计，常见实现为 JWT。
weak-password-hashing-anti-pattern
针对弱密码哈希安全反模式的技能：在生成或审查存储、校验用户密码的代码时，识别使用 MD5、SHA-1、SHA-256 等快速通用哈希且未加盐的做法，并给出基于 bcrypt、Argon2、scrypt 的修复方向，对应 CWE-327 与 CWE-759。
xpath-injection-anti-pattern
XPath 注入安全反模式（CWE-643），用于生成或审查查询 XML 文档、拼接 XPath 语句的代码，说明如何通过参数化与转义防止认证绕过与敏感信息泄露。
harden
harden 是一个用于对代码改动做生产级压力测试的技能，重点排查边界情况、并发、规模与安全等只在生产环境暴露的故障模式。它在测试通过后运行 /harden，产出按影响范围排序的加固清单。
integrate-anything
通过 Membrane CLI 与已认证连接执行外部 SaaS 应用操作的工具，统一处理认证与请求转发，不直接调用厂商 API，也不在本地管理外部应用凭据。
okta-identity-integration-patterns
面向企业身份集成的 Okta 实践模式技能，涵盖 OIDC 登录、组声明映射与基于策略的访问控制，适用于员工办公与 B2B 单点登录场景。
secrets-vault-manager
Secrets Vault Manager 是一个面向生产环境的密钥基础设施管理技能，适用于运行 HashiCorp Vault、云原生密钥存储或混合架构的团队。它覆盖策略编写、认证方法配置、自动轮换、动态密钥、审计日志与事件响应，工作层面位于基础设施层（Vault 集群、云 KMS、证书颁发机构、CI/CD 密钥注入），与处理本地 .env 文件卫生的 env-secrets-manager 有所区分。
securing-s3-buckets
用于按 AWS 最佳实践创建与加固 S3 存储桶的智能体技能，覆盖访问控制、加密、监控与错误配置修复。含新建加固、审计、修复、加密配置、监控启用五类工作流，优先通过 AWS MCP 执行，否则回退 AWS CLI，需具备相应 IAM 权限。
minimize-api-responses
该技能用于在保留必要消费方契约与字段级授权的前提下，最小化各 API 端点返回的数据。适用于构建、修改或审计接口时，把响应结构当作授权与隐私边界处理，仅依据当前消费方需求与请求者权限决定字段去留。
axiom-app-composition
一个面向 Apple 平台应用架构的 Codex 技能，用于梳理 @main 入口、登录与引导流程、根视图切换、场景生命周期及状态恢复等应用组合问题。
axiom-privacy-ux
用于在 iOS 应用开发中落地隐私合规与隐私 UX 的指南型技能，覆盖隐私清单文件、按需权限请求、App Tracking Transparency、跟踪域名管理、Required Reason API 申报以及 App Store 隐私营养标签的准备。
zero-trust-architecture
零信任架构技能指南，讲解“永不信任、始终验证”的现代安全架构设计方法，涵盖身份、设备、网络、应用、数据五层控制，微隔离、ZTNA、服务网格、持续信任评分与分阶段实施路线图，并列出常见反模式与相关技术选型。
security-threat-guide
security-threat-guide 是一个用于安全威胁建模与攻击面分析的技能，通过提问引导开发者自行识别威胁，而非直接给出补丁、漏洞清单或完整威胁模型。
pp-authentik
面向 authentik 身份提供商的 Agent 原生管理 CLI，支持离线 SQLite 缓存与 Claude Desktop 的 MCP 服务器。可在终端或 Claude 中查看用户、组、应用、流程、令牌和提供商，一次同步、离线查询、单条命令审计，适合读取密集的管理、令牌卫生与访问审计场景。
security-auditor
security-auditor 是 nahisaho/musubi 项目中的安全审计技能，用于分析应用代码、基础设施配置与依赖，依据 OWASP Top 10 等标准识别漏洞并给出修复建议，支持日语结构化对话。
flowchart-generator
内控与审计流程图生成工具，可将自然语言描述的业务流程转换为泳道流程图，支持输出 .drawio、PNG、SVG、VSDX 格式，适用于资金、采购、报销、审批等流程的绘制。
sensitive-logging-audit
用于审计或修复 OpenAI Agents JS SDK 中敏感数据泄露的技能，覆盖诊断、异常、日志与遥测。通过清单脚本、源码追踪和对抗性回归测试，判定模型/工具输入输出是否被不当记录。
propose-security-hardening
面向安全工程的结构性加固提案技能：把漏洞披露、扫描发现、事件或评估材料转化为可评审的加固方案，包含不变量、备选方案、前后对比图、权衡与迁移计划。
local-file-organizer
Local File Organizer 是一个逐文件拆解混乱目录的技能：按真实用途与内容归属重分类、重命名，并通过可解释、可回滚的变更账本安全执行。提供盘点、执行、复盘三级分支与标准、原子化深度两种模式。