application-inspector
Microsoft Application Inspector 是一个技术栈画像与安全特性检测工具，用于识别代码中的认证、加密、日志等安全相关模式，适合审计前侦察和软件成分报告。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,323 个结果
codeql
CodeQL 静态分析技能，用于安全漏洞检测、污点追踪与数据流分析，支持跨文件跨模块的深度过程间分析，可编写 QL 自定义查询，并集成 GitHub Advanced Security 与 CI/CD。
content-security-policy
用于分析 Content-Security-Policy 响应头配置错误与绕过风险的技能，支持从原始 CSP 字符串、URL、域名或文件路径输入，输出含 CVSS 评分、利用示例与修复建议的安全报告。
data-validation-pattern
数据验证安全模式，用于在系统处理外部输入前按规范校验并规范化数据，防止 SQL 注入、XSS、命令注入、数据损坏与异常行为。适用于输入处理、API 请求校验、文件上传与结构化数据解析等场景。
dom-clobbering-anti-pattern
DOM Clobbering 安全反模式（CWE-79 变体）参考文档，说明攻击者如何用可控 HTML 的 id 与 name 属性覆盖全局 JavaScript 变量，导致逻辑绕过、XSS 与安全控制规避，并提供检测与防护建议。
insecure-defaults-anti-pattern
针对不安全默认值（fail-open）安全反模式的技能文档，对应 CWE-1188。用于审查代码中为密钥、凭据或安全设置提供回退默认值的问题，强调缺失安全配置时应 fail-secure 而非继续运行。来自 igbuend/grimbard。
integer-overflow-anti-pattern
针对整数溢出漏洞（CWE-190）的安全反模式技能，用于在生成或审查对用户可控值进行算术运算的代码时，识别并防范溢出风险。
limit-request-rate-pattern
限流与节流安全模式，用于在给定时间窗内限制实体请求次数，防止资源耗尽、暴力破解、标识枚举和昂贵操作滥用。资料给出角色、算法、策略配置、响应头与实施清单。
message-authentication-code-pattern
消息认证码（MAC）安全模式，用于保障消息完整性与来源认证。资料说明其原理、推荐算法（HMAC-SHA-256/384/512、AES-CMAC、Blake2b）、密钥与输出长度建议、安全注意事项及实现检查清单，并指出MAC不提供不可否认性。
oauth-security-anti-pattern
针对 OAuth 2.0/OIDC 实现漏洞的安全反模式技能，聚焦 CWE-352 与 CWE-287，用于生成或审查 OAuth/OIDC 认证流程时识别并修复缺失或可预测 state 参数导致的 CSRF 与账户接管风险。
opaque-token-based-authentication-pattern
一种服务端令牌认证安全模式：主体凭不透明令牌访问，系统在服务端维护令牌到主体的映射。适用于会话管理、有状态认证设计。
opengrep
Opengrep 是 2025 年初由 JIT、Aikido Security、Endor Labs 等发起的 Semgrep CE 开源分支，用于基于开源规则的快速静态安全扫描（SAST），规则无商业使用限制，兼容 Semgrep CE 语法与命令行。
osv-scanner
Google OSV-Scanner 是用于软件成分分析（SCA）和依赖漏洞检测的命令行工具，可扫描包清单、锁文件、SBOM 和容器镜像，支持 SARIF、JSON、表格等输出格式，并可通过 GitHub Actions 集成到 CI/CD 流程中。
redos-anti-pattern
针对正则表达式拒绝服务（ReDoS，CWE-1333）的安全反模式技能，用于在编写或审查使用正则做输入校验、解析的代码时识别并规避灾难性回溯，属于高危问题。
sarif-tools
sarif-tools 是微软提供的 Python 命令行工具与库，用于处理、分析和转换 SARIF（静态分析结果交换格式）文件，可汇总多个扫描器的结果、导出报告、比较构建差异并集成到 CI/CD。
transparent-encrypted-storage-pattern
透明加密存储安全模式：存储层在写入磁盘前自动加密、读取时解密，应用无需改动即可获得静态数据加密保护，适用于全盘加密或数据库级 TDE 场景。
type-confusion-anti-pattern
针对类型混淆漏洞（CWE-843）的安全反模式技能，用于在编写或审查动态语言代码时识别与防范宽松比较、隐式类型转换和输入类型处理不当带来的风险。
unicode-security-anti-pattern
针对 Unicode 相关漏洞（CWE-176）的安全反模式技能，用于生成或审查处理用户名、文本显示、输入校验等场景的代码，防范同形字冒充、规范化不一致、零宽字符与双向文本覆盖导致的身份伪造和校验绕过。
unrestricted-file-upload-anti-pattern
针对不受限文件上传漏洞（CWE-434）的安全反模式技能，用于在生成或审查处理文件上传的代码时识别并修复该风险。资料说明其严重级别为 Critical，可能导致远程代码执行、服务器被入侵或磁盘耗尽。
qiaomu-ai-access
qiaomu-ai-access 是一个用于在访问 AI 网站、API 或模型前检测本地与浏览器环境是否呈现“中国用户特征”的技能工作流。它只报告运行时信号，不判定国籍或法律资格，也不帮助绕过地域限制、伪装 IP 或身份。
blockchain-engineer
面向区块链系统工程的技能指南，聚焦协议架构、智能合约开发与安全审计，覆盖 EVM（Solidity/Yul）与 Solana（Rust/Anchor）技术栈，强调安全性、可扩展性与经济稳健性。
skill-security-checklist
该技能用于对代码库进行安全与架构审计：检测技术栈、识别架构模式、发现代码坏味与安全风险、评估技术债，并生成带优缺点表格的 Markdown 审计报告。
vulnerability-assessor
针对已发现的安全漏洞进行可利用性、影响与风险评估，提供 CVSS 评分与修复策略的安全技能，适用于分析安全扫描结果并制定按优先级排序的修复路线图。
axiom-file-protection-ref
iOS 文件加密与数据保护 API 参考技能。讲解 FileProtectionType 各保护级别的加密时机、可访问性与后台访问差异，说明如何为文件或目录设置保护级别、如何检查当前保护、如何排查设备锁定后文件不可访问的问题，并对比文件保护与钥匙串的适用场景。