linking
该技能用于分析源代码中的可链接性（LINDDUN L）隐私威胁，识别跨服务、跨上下文或跨时间可关联到同一用户的数据点、行为或记录，支持范围、深度、严重度与修复等标志。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,326 个结果
logging
该技能用于分析源代码中的安全日志与监控缺陷（OWASP A09:2021），包括缺失审计日志、日志中的敏感数据、日志注入、缺少告警与防篡改保护等。支持 semgrep、bandit 扫描器，并以 Claude 代码分析为主要检测手段。
model
该技能用于对代码库进行架构级威胁建模，自动发现组件与信任边界、绘制数据流图、按组件执行 STRIDE 分析并生成攻击树，结果持久化到 .appsec/model/ 目录，支持增量更新。
non-repudiation-privacy
该技能用于分析源代码中的不可否认性隐私风险（LINDDUN N），识别强制问责、过度审计日志、数字签名与不可变记录造成的隐私问题，覆盖范围、深度、严重级别等检查标志，输出 NREP 编号发现项。
outdated-deps
用于审计项目依赖的 Claude Code 技能，检查已知 CVE 漏洞、过期与废弃包、未固定版本、锁文件缺失、仿冒包名和过多传递依赖。依赖外部扫描器检测 CVE，Claude 负责配置卫生与供应链风险分析，支持 --scope、--depth、--severity、--format、--fix、--explain 等标志。
owasp
OWASP 技能是一个用于对指定代码范围执行 OWASP Top 10（2021）安全分析的调度器，通过并行子代理覆盖全部十类漏洞，最后汇总、去重并按严重程度排序结果。可通过 /appsec:owasp 调用。
race-conditions
用于分析源码中竞态条件漏洞的技能，覆盖 TOCTOU、双花、无锁 check-then-act、文件系统竞态、异步共享状态和非原子计数器等问题，按 RACE 前缀输出发现，并给出竞态窗口、利用场景与修复建议。
start
面向任何代码库的 AppSec 安全评估入口技能，用于检测项目技术栈、敏感数据处理、架构模式、已安装扫描器与既有安全配置，并给出应优先使用的 /appsec:* 工具及理由。不派遣子代理，仅输出建议而非漏洞发现。
unawareness
unawareness 是一个面向隐私威胁建模的安全审计技能，基于 LINDDUN 框架中的“Unawareness（不知情）”类别分析源代码，检查用户是否知晓其个人数据如何被收集、处理和共享，覆盖同意流程、第三方集成、分析与 Cookie 等透明度问题。
better-auth-integration
用于把 Better Auth 认证系统集成进项目的技能，按探索、安装、Schema、实现、验证五个阶段执行，涵盖依赖与环境变量、数据库表结构、Provider 配置和认证流程验证。触发场景包括集成 better-auth、配置认证系统、接入鉴权。
npm
npm 是 Node.js 默认包管理器，用于 JavaScript 生态的依赖解析、工作区（monorepo）管理、安全审计与发布流程。本条目整理其用途、常用命令、工作区配置、供应链溯源与常见问题处理。
incident-response
该技能为 CIA 平台提供系统化的安全事件响应流程，覆盖检测、分析、遏制、根除、恢复与经验总结六个阶段，对齐 NIST SP 800-61r2、ISO 27035 及 Hack23 ISMS 事件响应计划。它定义了 S1 至 S4 四级严重性矩阵（按每日财务损失、运营影响和 RTO 划分），并给出各阶段的具体操作清单与 AWS 命令示例，包括 CloudTrail 日志收集、GuardDuty 与 Security Hub 告警查询、安全组隔离、IAM 凭证吊销、EBS/RDS 快照取证、补丁与配置加固、备份恢复与验证等。技能还涵盖 GDPR 72 小时与 NIS2 24 小时通报要求、事件后复盘模板及持续监控。适用于安全告警处置、数据泄露响应、漏洞利用事件、供应链安全事件及合规通报等场景；不适用于日常维护、非安全类运营问题或无安全影响的性能下降。
strategic-communication-analysis
该技能提供一套分析瑞典议会与媒体中战略政治传播的方法论，用于识别叙事框架、检测协同信息活动、评估媒体偏见、分析议会话语模式以及识别信息战手法。分析对象包括演讲、文件和媒体报道，强调基于证据的分析。技能明确列出适用场景（如分析议会辩论修辞、检测跨党派协同信息、识别媒体偏见、评估影响行动与虚假信息、分析话语演变、评估政治人物传播效果、检测虚假草根放大、绘制信息生态与回音室、识别反叙事机会）以及禁止用途（内容审查、通过虚假信息操纵舆论、侵犯言论自由、无政策实质的人身攻击）。
pentest
一个面向后端、前端和移动应用的对抗性安全审计技能，遵循 PTES 流程，产出带 CVSS 评分、经验证的 PoC 及分阶段修复建议的黑客报告，支持多种运行模式与可选参数。
huawei-cloud-iam-diagnose
华为云 IAM 参考性权限分析技能，通过展开用户的权限链并静态评估策略文档，判断某 IAM 用户是否大概率拥有对某操作/资源的权限。输出为参考性结论，非权威鉴权结果。
second-order-injection-anti-pattern
二阶注入反模式（CWE-89 变体）安全技能，用于生成或审查从数据库取数后再拼接进查询或命令的代码。核心是：数据初次存储时参数化看似安全，但取出后未再净化即使用，导致注入在时间与代码位置上分离，难以发现。
semgrep
Semgrep 是快速静态分析与模式匹配的安全扫描工具，支持 30+ 语言，可运行内置规则集或编写 YAML 自定义规则，检测漏洞与编码规范问题，常用于 CI/CD 安全门禁和首轮安全分析。
compliance
Compliance 是 Anthropic 知识工作插件中的合规技能，面向企业内部法务团队，协助处理隐私法规合规、数据处理协议（DPA）审查、数据主体请求响应以及监管动态跟踪。它覆盖 GDPR、CCPA/CPRA 等主要隐私法规的要点，提供 DPA 审查清单、常见问题与标准立场、数据主体请求处理流程与时限，以及监管监测和升级标准。该技能明确声明不提供法律建议，合规判断需由合格法律专业人士复核，法规要求应始终以权威来源核实。
jfrog access
JFrog Access 技能用于管理 JFrog 平台中的访问控制，包括访问令牌、用户、组、权限、项目与认证。该技能优先使用 JFrog CLI 2.100.0+ 的 jf api 进行 API 调用，在 CLI 缺失或版本过低时回退到 curl 配合 $JFROG_URL 与 bearer token。所有请求需通过 Authorization: Bearer $JFROG_ACCESS_TOKEN 认证，基础路径为 https://$JFROG_URL/access/api/...。技能涵盖令牌创建（支持作用域、过期时间、可刷新等）、用户与组的增删改查、权限目标配置、项目创建与成员管理，以及跨 JPD 的 Access Federation。适用于需要自动化管理 JFrog 访问控制的场景，如 CI 流水线令牌签发、团队权限分配、多租户项目隔离等。
titvo
titvo 是一个用于分析生成代码、识别安全漏洞并向用户报告结果的技能，强调只报告有实际证据的真实漏洞，并按严重程度分级。
awesome-privacy-audit
awesome-privacy-audit 是一个只读的代码库隐私审计技能，用于梳理系统持有何种个人数据、数据如何流动、是否最小化、保留与删除机制、数据主体权利、同意门控及泄露影响面，并输出数据地图、分级发现与结论，不修改代码、配置或数据。
security-analysis-skills
一套面向开发与安全人员的通用安全分析技能框架，涵盖 STRIDE 威胁建模、OWASP Top 10（2021）、CVSS v3.1 风险评分与安全编码模式，用于威胁建模、代码安全审查、漏洞评估与安全架构设计。
code-security
基于 Semgrep 的代码安全扫描技能，可对当前项目检测漏洞、密钥泄露与 OWASP Top 10 问题，支持按语言选择规则集并输出结构化安全报告。
minesweep
minesweep 是一个变更后审查技能，用于发现已完成的改动可能引入但无人预料的后果，包括安全漏洞、破坏性变更、慢路径和被削弱的校验。