authentication-setup
用于为 Web 应用与 API 设计和实现认证与授权的技能，覆盖密码登录、会话、JWT、OAuth、MFA 及角色或权限控制，帮助梳理身份、令牌、权限与运维安全边界。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,326 个结果
azure-screenshot-mask
用于在发布前对 Azure Portal 截图中的环境敏感信息打码的工具，可批量遮盖右上角租户名与头像、订阅名/ID、租户 ID、资源组名、UPN、内部主机名等，支持区域指定与备份。
triaging-vulnerabilities-with-ssvc-framework
该技能介绍如何使用CISA的SSVC（利益相关方特定漏洞分类）决策树框架对漏洞进行分级与优先级排序，产出可执行的修复优先级。SSVC由卡内基梅隆大学SEI与CISA合作开发，相比单纯使用CVSS，它综合考虑利用状态、技术影响、可自动化程度、任务普遍性及公共福祉影响，输出Track、Track*、Attend、Act四种结果，并对应不同SLA（90天、60天、14天、48小时）。技能包含从CISA KEV与FIRST EPSS API获取数据、评估各决策点、应用决策树、生成分级报告的实现步骤，并提供Nessus CSV与OpenVAS XML的集成示例及决策逻辑测试。
pyats-security
基于 pyATS 的网络设备安全审计技能，覆盖管理面加固、AAA、ACL、控制面策略、路由协议安全、加密与 SNMP 等检查，并可结合 ISE 与 NVD CVE 做合规与漏洞关联分析，输出分级安全报告。
ecs-security
面向 Amazon ECS 的安全与合规指导技能，按 7 层安全栈组织，覆盖任务角色与执行角色区分、iam:PassRole 收敛、混淆代理防护、密钥注入、容器加固、网络隔离、运行时检测与审计日志，并给出合规基线与 30/60/90 天加固路线。
Wallets
Wallets 是 bankrbot/skills 仓库中由 EthSkills 提供的一项技能，主题为以太坊钱包。根据现有资料，其内容涵盖以太坊钱包创建、EOA（外部拥有账户）、智能合约钱包、Safe 多签、EIP-7702 以及账户抽象，并包含 AI 智能体密钥安全规则和一笔交易相关内容。该技能安装在本仓库之外，具体安装命令需参见 catalog.json 中的 install.command 字段。资料未提供更详细的功能说明、使用步骤、适用场景与限制。
server-hardening
面向 Linux 服务器的安全加固技能，覆盖 CIS Benchmark 主要领域：自动安全更新、AppArmor/SELinux 强制访问控制、auditd 审计、入侵检测与登录安全，并给出 20 项加固检查清单与常见反模式。
django-security
Django 安全实践指南，涵盖 CSRF 防护、认证、会话、密码处理、中间件与受保护视图，并介绍自定义认证后端与对象级权限。
loom-dependency-scan
loom-dependency-scan 是一个跨生态系统的依赖扫描技能，用于检查项目依赖中的 CVE、过期包、许可证合规与供应链风险，覆盖 npm、pip、cargo、go、maven 等，是 loom-security-scan 与 loom-security-audit 的深度依赖补充。
loom-security-scan
loom-security-scan 是一个用于提交前与 CI 的轻量安全扫描技能，覆盖密钥泄露、依赖 CVE、容器镜像与常见漏洞，提供工具选型矩阵、优先级顺序、CI 集成与结果分级建议。
loom-threat-model
loom-threat-model 是一套面向安全架构设计的威胁建模方法论技能，涵盖 STRIDE、DREAD、PASTA、攻击树等，用于在编码前识别设计缺陷。适用于新系统规划、架构评审、信任边界变更、第三方集成与合规取证，并强调威胁模型是需随架构变化重跑的活文档。
fix-finding
用于修复并验证已确认或疑似成立的安全发现：在问题仍存在时产出最小化、可验证的代码改动，或用校验证据证明问题已被修复、无需改代码。适用于明确要求修复并验证某个安全发现的场景，不作为完整 PR、提交、分支等的主触发。
security-auth
面向 SAP CAP 的安全与授权实践技能，覆盖服务级 @requires、实体级 @restrict、XSUAA 与 IAS 角色配置、行级授权及处理器内权限校验。
sentinel-api
Sentinel API 是 DeepSource 提供的代码安全扫描 REST 接口，可检测安全漏洞、泄露的密钥和依赖问题，并自动生成修复补丁。需通过 SENTINEL_API_KEY 环境变量进行 Bearer 认证。
privacy-cards
通过 Privacy.com API 创建和管理虚拟卡，供 AI 智能体在受控额度内完成购买，如买域名、订阅服务或一次性消费。支持单次卡、商户锁定卡与数字钱包卡，可查询卡状态与交易、暂停或关闭卡片。需配置 PRIVACY_API_KEY。
skill-security-auditor
用于代码、配置与基础设施的安全审计技能，可扫描硬编码密钥、SQL注入、XSS 等漏洞，检查依赖与配置风险，按 OWASP Top 10 输出审计报告。
1password
1Password CLI（op）的安装、桌面应用集成与登录使用指南，强调在专用 tmux 会话中执行 op 命令，支持单账号与多账号，并给出避免泄露密钥的安全准则。
security-best-practices
该技能用于针对特定编程语言与框架执行安全最佳实践审查并提出改进建议。它首先识别当前项目所使用的前端和后端语言与框架，然后从技能的 references 目录加载对应的安全文档（文件名格式为 <language>-<framework>-<stack>-security.md，以及框架无关的 <language>-general-<stack>-security.md）作为审查依据。技能支持三种工作模式：一是编写默认安全的代码，适用于新项目或新代码；二是在日常工作中被动检测重大漏洞；三是按用户要求生成带严重性分级与编号的漏洞报告并协助修复。审查范围覆盖前后端，报告以 Markdown 文件形式输出（默认 security_best_practices_report.md），并包含执行摘要、严重性分区、行号引用和关键发现的一句话影响说明。修复时建议逐项处理，避免破坏现有功能。
explain
该技能是一个交互式安全概念讲解器，用于解释安全框架、威胁类别、漏洞发现和安全概念。它支持从框架总览到单个漏洞发现 ID 的多层次讲解，并尽可能使用用户自己的代码库作为具体示例。可讲解 STRIDE、OWASP、PASTA、LINDDUN、MITRE ATT&CK、SANS/CWE Top 25、DREAD 等框架，以及具体类别和漏洞发现，并提供修复建议与后续操作。
fix
fix 是一个面向安全修复的 Claude Code 技能，用于针对安全发现生成可落地的代码修复，而非仅给出建议。它支持按文件、行号、描述或批量定位问题，可按深度与严重级别筛选，并可通过 Edit 工具应用修改。
fuzz
fuzz 是一个面向安全测试的模糊测试输入生成技能，通过分析输入解析代码，生成边界值、类型混淆、编码边界、格式攻击与注入载荷，输出结构化 JSON 测试用例集，供测试框架集成使用。
graphql
用于审计 GraphQL API 安全性的技能，可检查生产环境 introspection、查询深度与复杂度限制、批量请求滥用、别名拒绝服务及字段级授权缺失等问题，支持 semgrep、graphql-cop 扫描与人工代码分析。
identifying
用于分析源代码中可识别性（LINDDUN I）隐私威胁的技能，检查匿名数据能否被重新识别，支持范围、深度、严重度与修复等标志，输出 IDENT 编号的发现。
learn
AppSec Learn 是一个交互式安全学习技能，用用户自己的代码库作为教材，通过讲解、展示代码、提问、揭示漏洞四步流程，帮助学习 OWASP、STRIDE 和红队攻击者视角等安全概念。