privacy-retention-and-right-to-delete
该技能指导智能体在数据系统中落实隐私、保留期限与删除请求等工程化流程，适用于处理个人或受监管数据、定义保留规则、实现删除或擦除请求，以及验证下游系统不超期保留数据。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,324 个结果
tls-scan-testssl
该技能使用 testssl.sh 分析目标主机的 TLS/SSL 配置，检查协议版本、密码套件强度、证书有效性与已知漏洞（如 Heartbleed、POODLE、ROBOT 等），并以表格汇总发现与修复建议。
llm-secrets
llm-secrets 是一个用于列出大语言模型可访问凭据名称的技能，适用于需要 API 密钥、密码等机密信息时。它只显示可用的密钥名称，不显示值，获取具体值需用 echo $KEY_NAME 命令。
Security Scanner
Security Scanner 是一个用于代码与配置文件安全分析和漏洞扫描的技能，可检测硬编码密钥、错误配置及潜在安全问题，适合提交前审计、密钥查找和漏洞扫描等场景。
owasp-check
owasp-check 是一个基于清单的安全检查技能，依据 OWASP Top 10（2021）标准检查目标应用的安全控制，逐项查询 A01–A10 共 10 类的防护状态，生成 Pass/Fail/N-A 合规矩阵，并为未通过项提供按优先级排序的修复建议及 OWASP 官方参考链接。
subdomain-takeover
这是一个用于检测和验证子域接管（Subdomain Takeover）漏洞的安全技能，专门针对悬空的 DNS CNAME 记录。它通过识别指向未认领或已下线第三方服务的 CNAME 记录，解析目标地址、比对已知易受攻击服务的指纹，并确认资源是否可被认领来验证可利用性。覆盖 GitHub Pages、AWS S3、Heroku、Netlify、Azure、Shopify、Fastly 等 18 种以上服务。
symfony-yoandev-security
Symfony 项目中的认证与授权技能，覆盖 User 实体与用户提供者、防火墙、面向 JSON API 的原生 access_token 认证、角色与 Voter、以及登录限流、密码强度、CSRF 等加固措施。核心内容包括：检查安全是否真正接线（debug:firewall、providers 配置）、构建 UserInterface 实体、配置 provider 与 authenticator、用角色划分区域、用 Voter 判断对象级权限，并给出常见故障的症状与成因对照。
mcp-api-key-auth
mcp-api-key-auth 是一个面向股票数据服务的技能，用于为外部 MCP 客户端（如 Claude Code、Cursor 等）配置、管理和排查 API Key 认证，并跟踪每个 MCP 工具的调用情况。该服务将 API Key 管理与 MCP 协议分离在两个端口上：端口 8000 提供 HTTP 接口，由 JWT 登录保护，负责创建、列出和撤销 API Key；端口 8001 提供 MCP 协议接口，通过请求头中的 API Key 进行认证。使用该技能可以创建带有效期的 API Key（完整密钥仅在创建时显示一次），将其配置到 Claude Code、Claude Desktop 或 Cursor 的 MCP 设置中，通过 tools/list 等请求验证连通性，并通过分页历史与聚合统计接口查看工具调用记录（包括调用的工具、查询的表名与记录数）。相关使用记录存储在 ClickHouse 的 mcp_tool_usage_log 表中。该技能还提供了对 401 认证错误的排查指引，例如缺少 Authorization 头、密钥被撤销或过期、initialize 不需要认证而 tools/list 与 tools/call 需要认证等情况。
security-hardening
Security Hardening 是一套面向开发与运维的安全加固与安全编码技能，围绕 OWASP Top 10（2021）提供系统性的缓解措施。内容涵盖访问控制、加密、注入防护、安全设计、配置管理、组件与依赖安全、身份认证、软件与数据完整性、日志监控以及 SSRF 防护等十大风险领域，并给出输入验证、SQL 注入与 XSS 防护、CSRF 防护、安全响应头、CORS 配置、速率限制与暴力破解防护、文件上传安全、环境变量与密钥管理、Docker 安全、HTTPS 强制、安全事件日志、服务器加固等实践要点，配有可直接参考的代码示例与安全清单，同时列出常用安全工具。适用于需要加固系统安全、编写安全代码、排查 OWASP 漏洞或进行基础设施防护的场景。
iam-identity-management
本技能提供 OCI（Oracle Cloud Infrastructure）IAM 与身份管理的专家知识，适用于编写 IAM 策略、排查 403/404 权限错误、配置动态组以及调试 IDCS 联合身份。内容涵盖 OCI 特有的策略语法、常见误配置（如策略位置错误、使用 any-user、用用户主体语法授权实例、在动态组规则中硬编码 OCID）、权限排查流程、动词层级、资源类型族、条件子句、动态组模式、认证方式对比、IDCS 联合注意事项以及隔间层级设计建议。
secrets-management
该技能用于在 OCI Vault 中存储密钥、排查 401/403 密钥获取错误、实现密钥轮换、配置实例主体认证以及缓存密钥。内容涵盖 OCI Vault 与 Secrets Management 的常见错误与最佳实践，包括：写入临时密钥文件前先设置权限、避免过宽的 IAM 策略、必须缓存密钥以降低成本、使用 BASE64 编码而非已弃用的 PLAIN、不硬编码 Vault OCID、不记录密钥内容。还说明了 IAM 权限要点（read secret-family 与 use keys 缺一不可）、Vault 层级结构、密钥获取错误决策树、零停机轮换方法、缓存 TTL 选择、OCI 特有注意事项以及实例主体认证的生产模式。
investigation-report
这是一个针对 Base 链上代币的一站式调查技能，把六项链上安全检查组合成一份结构化报告。用户提供一个代币合约地址，可通过 --checks 参数选择要运行的检查项，通过 --depth 参数选择快速或深度模式。六项检查分别是：rug-scan（地毯风险）、contract-audit（合约审计，含验证状态、owner 权限、代理）、deployer-trace（部署者追踪及其历史）、holder-concentration（持币集中度/巨鲸风险）、honeypot（蜜罐模拟，能否真实卖出）、lp（LP 锁仓，团队能否抽走流动性）。报告顶部给出一句话总结。各检查独立运行，某一项缺少 API key 或返回空时标记为不可用，不会中断其余检查。数据来源为 Etherscan v2 统一 API（chainid=8453）与 Base RPC，API key 与 RPC URL 均可选；代币地址无效时记录 REPORT_NO_TARGET 并干净退出。
vuln-scanner
vuln-scanner 是一个面向开源仓库的安全审计与负责任披露技能，覆盖扫描、重提交、披露三个环节。它从 GitHub 趋势仓库中选取目标，使用 Semgrep、TruffleHog、osv-scanner、Slither 等专用扫描器检测代码漏洞、泄露密钥和依赖 CVE，并按渠道分流：代码缺陷走私有漏洞报告（PVR）或 SECURITY.md 联系方式，已公开的依赖 CVE 才提公开 PR。对无安全渠道的发现记录为跳过并加入观察列表，由重提交环节定期探测；需要邮件披露时生成草稿并排队发送。
vuln-tracker
vuln-tracker 是漏洞处理流水线中的每日读取/轮询环节，用于跟踪 vuln-scanner 产出的所有漏洞披露生命周期状态。它不自行提交 PR 或安全公告，而是轮询已产出的内容并呈现需要操作者关注的事项，包括 PR 与安全公告状态、PVR 分类状态转换以及待披露队列的老化情况，并汇总已修复仓库的 star 数。
ci-security-gates
CI/CD 安全门禁（CI Security Gates）是一套为持续集成与持续部署流水线添加自动化安全扫描的实践方案，核心是在部署前设置三道关卡：SAST 静态代码分析（CodeQL/Semgrep）、密钥泄露扫描（Gitleaks）和依赖漏洞审计（npm audit/pip audit）。任一关卡失败即阻止部署。方案提供 GitHub Actions 与 GitLab CI 的完整配置示例，强调将 Action 固定到 commit SHA 以防供应链攻击、安全任务先于部署任务运行、使用 npm ci 确定性安装、以 high 级别阻断高危 CVE。适用于需要在发布前自动发现代码漏洞、意外提交的密钥和第三方依赖已知漏洞的团队。
error-handling-security
错误处理安全（Error Handling Security）是一项面向开发者的安全实践技能，核心目标是防止应用程序通过错误信息向攻击者泄露内部细节。该技能强调在生产环境中绝不暴露堆栈跟踪、数据库错误、文件路径、依赖版本等敏感信息，而是统一返回通用错误提示，同时在服务端完整记录详细日志。文档给出了统一的错误处理规则：对外始终返回通用消息，对内记录完整细节，并通过 requestId 关联前后端问题排查。技能为 Cloudflare Workers、Express.js、Next.js、Laravel、Python FastAPI 等多个框架提供了具体实现示例，展示了自定义错误类、全局错误处理器、结构化日志记录等做法。同时列出了生产环境变量配置建议（如 APP_DEBUG=false、NODE_ENV=production）以及一份错误处理检查清单，覆盖堆栈跟踪、SQL 查询、文件路径、依赖版本、404 信息泄露等检查项。文档还提及 PDPA 2024 相关合规背景，指出泄露系统内部信息可能构成信息泄露漏洞并带来开发者责任。该技能属于安全与审计范畴，适用于构建 API 和 Web 应用的开发者。
input-validation
输入验证（input-validation）是一项安全编码技能，目标是验证并净化所有用户输入，以防范 XSS、路径遍历、命令注入以及畸形数据等安全风险。该技能强调“永远不要信任用户输入”，要求在服务端对类型、长度、格式与取值范围进行全面校验。内容涵盖了多种攻击向量的成因与修复方式，包括跨站脚本、路径遍历、命令注入、SSRF、原型污染和文件上传滥用。资料同时给出 Node.js（Zod）、Laravel/PHP、Python（Pydantic）等框架下的实现模式与代码示例，并提供一份面向 API 端点的输入验证检查清单。该技能属于安全与审计领域的实践指南。
pdpa-security-audit
PDPA Security Audit 是一个面向代码库的安全审计技能，将 PDPA 2024（马来西亚个人数据保护法）与 OWASP Top 10（2021）结合的完整审计流程。它针对可能没有正式安全培训的开发者设计，帮助其在投入生产前发现合规与安全问题。审计分为多个阶段：第一阶段对照 8 项来自真实马来西亚法院案例的取证发现（SQL 注入、路径遍历、竞态条件、硬编码密钥、审计日志、上线前测试、依赖安全、许可证合规）逐一检查代码库；第二阶段对 OWASP Top 10 的 A01–A10 十大类别逐项评估控制措施并识别缺口；阶段 2.5 将每项发现路由到对应的专项修复技能（如 $access-control-patterns、$sql-injection-prevention 等）；第三阶段输出评分卡，包含取证发现表、OWASP 评级和优先修复清单。资料还提供了法律参考和重要注意事项，说明这是自动化内部评估，不能替代外部渗透测试。
sql-injection-prevention
该技能用于检测并修复各类框架中的 SQL 注入漏洞，核心原则是绝不将用户输入拼接进 SQL 字符串，始终使用参数化绑定。内容覆盖 Node.js/TypeScript、Cloudflare D1、Laravel/PHP、Python 等常见技术栈，分别给出易受攻击的写法（模板字符串、字符串拼接、DB::raw、whereRaw、f-string 等）与安全写法（占位符绑定、命名参数、ORM 查询）。同时提供审计代码库时可用的正则搜索模式，以及从定位查询、检查写法、替换为绑定、运行测试到补充集成测试的修复流程。资料还提及该问题与马来西亚 PDPA 相关法律后果，属于安全审计类技能。
auth-and-authorization-patterns
该技能用于实现认证（登录、令牌签发）与授权（访问控制、权限）时提供业界实践参考，涵盖密码哈希、JWT、MFA、RBAC/ABAC、OAuth2/OIDC 及会话管理。
active-directory-attack
内网域攻击技能条目，汇总BloodHound侦察、Kerberoast、ADCS ESC1/ESC8、NTLM Relay、强制认证、DACL滥用、DCSync及Zerologon/NoPac/PrintNightmare等域漏洞，以及mitm6、LLMNR投毒和Linux内网手法。
binary-mobile-reversing
面向 APK、EXE 与二进制文件的安全逆向技能，覆盖 UniApp/DCloud、Flutter 应用逆向，证书固定绕过、导出组件与深链接检查、不安全存储分析，以及内存破坏 exploit 链和 IoT 固件提取调试。
pentest-verification
pentest-verification 是一项面向渗透测试场景的验证规则技能，中文名为“验证铁律”，用于约束在项目事实写入与漏洞确认过程中的行为，防止产生幻觉。其核心要求包括：搜索结果不等于漏洞，公开情报或 PoC 线索不能直接记录为漏洞，也不能直接标记 confidence=confirmed，只能作为 tentative 线索或本轮待验证方向，验证后再落库；每个 confirmed 事实必须附带验证证据，如命令输出、HTTP 响应、文件内容或回连记录；禁止使用“可能、疑似、推测”等空泛表述，要么确认并附证据写入事实或漏洞，要么以 tentative 标明线索，要么不报；验证失败时也应写入负结果事实，例如“测了 XX，无可利用漏洞”，并通过 upsert_project_fact 落库，以避免重复尝试；强调想象力拉满、单步验证零容忍，即鼓励大胆构想攻击链，但每一步都必须用真实证据钉死后才能确认为 confirmed。该技能适用于编写项目事实、校验测试发现或避免模型幻觉的场景，并与 pentest-blackboard 黑板工具对齐使用。
wireless-hardware-attack
无线与硬件攻击技能，覆盖 WiFi PMKID、WPS、Evil Twin，BLE GATT 枚举，Zigbee、NFC/RFID、LoRa/SDR 及 UART、JTAG/SWD、SPI、侧信道与故障注入等方向，适用于针对无线协议与硬件接口的渗透测试场景。