authentication-patterns
提供安全认证实现的综合指导，涵盖 JWT 最佳实践、OAuth 2.0/OIDC 流程、Passkeys/FIDO2/WebAuthn、MFA 模式与安全会话管理，并给出认证方式选择对照、令牌生命周期、密码哈希与安全检查清单。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,324 个结果
audit-safety
audit-safety 是一个面向 Web 应用（TanStack Start、Next.js、Convex 等）的安全审计技能，用于对单个功能跨越页面、loader、服务端函数、API 路由、Webhook、中间件与数据的完整服务端可达外围进行只读安全审计。它先推断最小完整审计范围，再构建每个操作的可访问性矩阵，检查服务端函数是否自行鉴权、参数与 Cookie 是否在服务端绑定、客户端权限检查、Stripe Webhook 签名与幂等、密钥是否泄漏到前端、公开读取字段白名单、错误信息是否泄漏、敏感操作限流等。报告要求给出从入口到执行点的具体路径与 file:line，并标注 CONFIRMED、DEFENSE GAP 或 NOT VERIFIED。除非用户单独授权修复，否则保持只读，不实时测试生产、不创建账号、不修改数据。
verasic-secbot
verasic-secbot 是一个面向 git diff 的 STRIDE 安全审查技能，可选接入确定性扫描器。适用于用户要求“security review”“review for security”“STRIDE review”等场景，默认审查分支变更，也可指定未提交或暂存改动。
privacy-policy-drafter
根据产品实际收集与处理数据的方式，起草结构清晰、通俗易懂的隐私政策，并标注需律师确认的假设与合规要点。非法律意见，发布前须由合格律师审阅。
building-cloud-security-posture-management
该技能指导安全架构师设计并实施云安全态势管理（CSPM）项目，持续监控多云环境中的错误配置与合规违规，涵盖资产盘点、工具选型、策略基线、漂移检测、风险优先级排序及 SOC 集成。
apply-native-policy-to-instance
通过 MuleSoft Platform MCP 在 API 实例上应用、查看或编辑供应商原生策略的技能，支持 Kong 插件、Apigee 模板、Azure 策略及 MuleSoft/Anypoint。
security-testing-en
面向安全测试的技能，围绕 OWASP 风险、漏洞扫描与渗透场景设计安全测试方案，默认输出 Markdown，可按需转为 Excel、CSV、JSON 等格式，适合 QA 工程师与开发者在项目中执行安全测试。
export-control
面向美国出口管制合规的技能，用于实现ITAR/EAR合规、ECCN分类、当事方筛查、技术控制计划及视同出口等场景，回答需以提供的参考文件为依据。
senior-security
面向安全工程的技能工具包，覆盖威胁建模、漏洞分析、安全架构与渗透测试，包含 STRIDE 分析与 OWASP Top 10 映射，并提供配套脚本与参考资料。
skill-vetting
用于在安装前对 ClawHub 技能进行安全与实用性审查的工具。通过下载技能包、运行扫描脚本并人工复查代码，识别恶意行为与提示注入风险，帮助判断是否值得安装。
backlog
paad 工具集中的实验性 backlog 技能，用于处理项目级缺陷待办清单 paad/code-reviews/backlog.md 与 paad/security/backlog.md。提供 Clean（重新核验并清除已修复或已消失的条目）与 Fix（逐条修复）两种模式，但不会自动执行 git commit，只输出命令供用户运行。
cli-cast
用于 Foundry cast 交易操作的技能：准备、追踪、模拟、签名或广播交易，签名消息，以及 ABI/calldata 编解码。强调将读取、准备、模拟、签名与广播分离，任何状态变更操作都需先审阅并获用户确认。
safety-filter-bypass
面向安全评估场景的技能，用于测试AI安全过滤器、内容审核系统与防护护栏，识别其薄弱点。资料给出关键词、正则、ML分类器、LLM过滤器等类型分析与多种绕过技术，并强调仅限授权测试。
israeli-standards-import-checker
该工具是一个免费的信息类 AI 技能，用于说明以色列标准法下的产品进口审批路径。它帮助进口商判断某产品是否需要以色列标准协会（SII，Mechon HaTikanim）的强制标准（takan rishmi）批准，并梳理与之并行的许可制度。工具会解释 2022 年电子产品改革、2025 年 1 月生效的欧盟认可改革（第 19 号修正案）以及 2026 年 7 月 16 日通过、预计 2027 年初生效的美国标准路径（第 21 号修正案）。它按产品类别、进口组别和改革状态给出可能的审批路线，包括型式批准、逐批批准、进口商便利计划、基于声明的入境以及欧盟法规认可等，并提示自由进口令、通信部合规证书、电子废弃物与电池、包装、能效等并行要求。工具明确声明其输出不构成法律意见，也不是已提交的海关申报，不判定海关归类，不审查技术文件，也不核对官方标准清单，使用前须咨询持牌报关行或标准化专员。
audit-security
audit-security 是一个刻意保持精简、人工筛选的安全扫描技能，用于在代码仓库中查找硬编码密钥、SQL/命令注入、XSS、路径遍历、危险反序列化、Cookie 安全标志缺失、CORS 通配符、依赖锁定与认证会话等问题，并对每条命中做分级判定，避免大量告警淹没真正可操作的问题。
telnyx-oauth-javascript
用于 Telnyx API 访问的 OAuth 2.0 认证流程实现技能，提供 JavaScript SDK 示例，涵盖授权码、令牌交换、令牌内省、JWKS、动态客户端注册，以及 OAuth 客户端与授权的增删改查管理。
telnyx-verify-go
Telnyx Verify 的 Go 语言 SDK 技能，用于查询电话号码信息（运营商、号码类型、来电者名称）以及通过短信、语音、闪信等方式向用户发送并校验 OTP 验证码。该技能基于 github.com/team-telnyx/telnyx-go 客户端，提供号码查询、验证触发、验证码校验、验证记录查询以及 Verify 配置文件与消息模板管理等能力，适用于电话验证与数据补充场景。
telnyx-verify-javascript
Telnyx Verify 的 JavaScript 技能，基于 telnyx npm 包，用于查询电话号码信息（运营商、号码类型、来电显示名称）以及通过短信、语音、闪信等方式向用户发送并校验 OTP 验证码。该技能提供号码查询、验证触发、验证码校验、验证记录查询，以及 Verify 配置文件的增删改查和消息模板管理能力。适用于电话验证与数据补充场景。
tenzir-create-ocsf-mapping
tenzir-create-ocsf-mapping 是 Tenzir skills 集合中的一个技能，用于为 Tenzir 解析器包（parser package）创建 OCSF 映射操作符。当用户希望将已解析的事件映射到 OCSF、将安全数据规范化到 OCSF，或表达类似“map…”需求时，可使用该技能。该技能在已有的可用解析器包基础上，新增一个调度操作符（dispatcher）以及按事件类型划分的映射操作符，把清洗后的事件转换为符合 OCSF 的输出。工作流依次为：确认解析器包已存在、识别源事件对应的 OCSF 事件类、编写映射操作符、补充端到端示例、最终完善包并验证测试（含通过 ocsf::cast 进行 OCSF 校验）。
two-factor
双因素认证（2FA）模式，用于在密码之外增加第二重验证步骤，涵盖第二因素的注册设置流程与登录时的验证流程。适用于金融、邮件、管理后台、医疗法律、开发者平台等需要保护敏感账户的场景；低风险应用、技术能力有限的用户群体、会显著降低采用率的消费产品以及共享设备环境应谨慎或避免使用。文档提供无障碍与性能护栏、常见错误及修复建议，并强调必须提供备用码恢复、优先使用 TOTP 而非仅 SMS、以及容忍时间偏移。
authenticating
这是一个用于自动化认证安全测试的技能，基于 Playwright MCP 实现。它覆盖注册、登录、2FA/OTP 绕过、CAPTCHA 评估和机器人检测规避等流程，并配套密码生成器与凭据管理工具。测试过程要求使用测试账号、记录证据、负责任披露并清理环境。
security-posture-analyzer
Security Posture Analyzer 是一个安全态势分析技能，通过检查 HTTP 安全响应头、CSP、HSTS、邮件安全 DNS 记录（SPF/DKIM/DMARC）以及 security.txt 等发现文件，评估组织的安全配置并给出评分与改进建议。
osquery-query-helper
用于协助编写、校验和排查 osquery SQL 查询的技能，依据所提供 schema 文件中的表和列作为权威依据。支持按调查目标写新查询、验证用户已有查询、排查报错及给出性能改进建议，覆盖标准 osquery 及多种 EDR 平台。
data-security-compliance-and-regulated-data
该技能用于指导智能体处理受监管数据（如 PII、PCI、HIPAA、PHI 等）的安全与合规工作流。当数据产品涉及敏感或受监管数据时，它帮助智能体将控制措施、数据血缘、访问权限、保留与删除、审计证据以及发布安全视为统一的交付面，覆盖数据分类、端到端数据流映射、控制定义、策略对齐、合规证据与发布门禁、以及事件与重放规划等环节。