sbom-management
SBOM（软件物料清单）管理技能，覆盖清单生成、CycloneDX/SPDX 格式、VEX 漏洞状态跟踪与供应链安全，适用于软件发布、客户合规请求及行政令 14028、欧盟 CRA 等监管要求。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,326 个结果
troubleshooting-authentication
面向 MSAL、JWT 与 Entra ID 的认证排障技能，用于调试 401 错误、令牌问题、MSAL 配置错误及凭据异常。覆盖浏览器到后端的完整认证链路，提供常见问题原因与修复方法。
aoothjs
aoothjs 是面向 Moost 应用的认证与授权技能栈，覆盖登录、JWT/会话令牌、密码与 MFA（TOTP）、短信 OTP、RBAC 角色与守卫、魔法链接、OAuth2/OIDC 联合登录及授权服务器等能力。
conducting-mobile-application-penetration-test
针对 Android 与 iOS 应用开展移动应用渗透测试，依据 OWASP MASTG 与 MASVS 检查不安全数据存储、证书固定绕过、API 漏洞与逆向防护，使用 Frida、Objection、MobSF、Jadx、Burp Suite 等工具。
operationalizing-misp-threat-feeds
该技能介绍如何将 MISP 威胁情报平台投入实战：启用并缓存 CIRCL、abuse.ch、Feodo Tracker 等精选情报源，用 warninglists 抑制误报，通过 PyMISP 查询 IOC，并自动生成 Suricata、Sigma、Wazuh 检测规则。
mitre-attack
MITRE ATT&CK 框架参考技能，汇总企业战术（TA0001-TA0040）、常用 ATT&CK 技术（TTP）编号与名称，以及渗透测试工具到 TTP 的映射，用于渗透测试文档编写和检测规则撰写。
audit-only
Audit Only 是一个只读调查模式技能，用于在用户明确要求“审计”“调查”或“不要动代码”时，先阅读相关代码与数据、回答问题并报告发现，在用户明确说继续之前不编辑代码、不创建文件、不提交 PR。它强调先回答被问到的实际问题，报告现状、问题、可选方案与建议；若确需改动，只描述改动并等待许可。该技能来自 outthislife/brooklyn-skills，具体安装与使用方式暂未提供。
ai-security
面向 AI/LLM 功能的安全清单技能，覆盖提示注入防御、调用前 PII 脱敏、输出校验、限流、审计日志与 DPPA/GDPR 合规，适用于设计、评审或加固 AI 功能时使用。
netlify-identity
为 Netlify 站点添加认证与用户管理的技能，基于 @netlify/identity 包，支持注册、登录、登出、OAuth 社交登录、角色与访问控制、服务端函数鉴权及身份事件处理。
audit-actions
审计代码仓库的 GitHub Actions 工作流中不安全的 pull_request_target 用法，识别可能导致供应链攻击的风险。当用户要求审计 GitHub Actions 工作流安全性时使用。
scenario-roblox-networking
该技能用于在 Roblox 体验中防御漏洞利用者并设计网络通信，覆盖 RemoteEvent、RemoteFunction 与 UnreliableRemoteEvent 的设计、参数校验、速率限制、命中验证、移动防作弊、检测与延迟处置等。它强调服务器拥有状态、客户端只传递意图，要求按固定顺序检查速率、参数与上下文，并通过在测试客户端发送恶意参数来验证防护。技能面向 Roblox Studio（2026 年 10 月构建版），通过 scenario-roblox-expert 工具包驱动，包含审计、校验、命中、移动、所有权、漏洞测试、检测、延迟与带宽等阶段，并提供 NetKit 模块与质量门禁。
security-assessment
这是一套面向代码库整体的安全评估技能，覆盖 OWASP Top 10 2025 与 ASVS Level 1 要求。它通过 MCP 工具或 REST API 运行自动化全代码库安全分析，支持实时令牌监控、成本预算控制、知识图谱关联与自动化安全测试生成。用户可用自然语言触发评估、安全审计、OWASP Top 10 或 ASVS 检查，并可按范围（全仓库、仅后端、仅前端或指定 OWASP 类别）与预算运行。结果包含执行摘要、按严重级别和 OWASP 类别分组的详细发现、ASVS 合规矩阵与修复路线图。
threat-modeling
基于代码分析的自动化 STRIDE/DREAD 威胁建模技能，可提取架构、数据流、入口点与信任边界，生成排序后的威胁、攻击场景、攻击树与缓解建议，并支持 CVE、MITRE ATT&CK 等情报增强。
security-auditor
security-auditor 是一个面向应用安全与安全编码实践的技能，用于审查代码漏洞、实现安全认证并确保符合 OWASP 要求。根据资料，其覆盖 JWT、OAuth2、CORS、CSP 与加密等主题，并建议主动使用。该技能专注于认证与授权（JWT、OAuth2、SAML）、OWASP Top 10 漏洞检测、安全 API 设计与 CORS 配置、输入验证与 SQL 注入防护、传输与静态加密实现、安全响应头与 CSP 策略。其方法强调纵深防御、最小权限原则、不信任任何用户输入、安全失败不泄露信息，以及定期依赖扫描。产出包括带严重级别划分的安全审计报告、含注释的安全实现代码、认证流程示意图、针对具体功能的安全检查清单、推荐的安全响应头配置，以及安全场景测试用例。适用于代码安全审查、认证授权设计、API 安全加固与合规检查等场景，注重可落地的修复而非理论风险，并附带 OWASP 参考。
security-review
security-review 是一个用于代码安全审查的技能，重点识别可被利用的漏洞。它只报告高置信度发现，即存在明确漏洞模式且输入受攻击者控制的情况，避免仅凭模式匹配产生误报。
licensing-tiers-data-governance
该技能提供一套订阅分级与数据治理的实现框架，用于在 SaaS 产品中按 Free/Pro/Enterprise 等层级实施字段级访问控制、功能门控、API 速率限制与合规追踪。它包含订阅层级、字段访问策略、功能门控、API 用量、审计日志等数据库表结构设计，以及字段过滤、功能门控中间件、速率限制器、层级迁移处理等实现模式，并支持按层级管理数据保留策略与 SOC 2、HIPAA、GDPR 等合规要求。
skill-security-analyzer
Skill Security Analyzer 是一个用于在部署前分析 Claude 技能安全风险、漏洞与安全隐患的技能。它适用于被要求分析技能安全性、审查安全态势、审计漏洞、判断技能是否可安全部署等场景。该技能通过系统化流程检查技能元数据、SKILL.md 指令、脚本、引用文件与资源，识别数据外泄、网络访问、提示注入、权限范围、PII、恶意代码、供应链、凭据暴露、资源滥用与透明度等问题，并按 CRITICAL、HIGH、MEDIUM、LOW、POSITIVE 分级输出发现，同时生成执行摘要与安全清单。
security-audit
security-audit 是一个多智能体代码库安全审计技能，通过并行运行五个 security-auditor 智能体，从认证与访问、输入与数据、加密与密钥、配置与部署、依赖五个维度对项目进行安全检查，覆盖 OWASP Top 10 风险，并将发现的问题按严重程度、类别、位置和修复建议汇总为带时间戳的报告。适用于生产部署前、重大功能上线后、月度安全审查、外部安全审计前以及依赖更新后使用。该技能为只读操作，不修改代码，不阻止提交，但可能存在误报，建议人工复核。
owasp-zap
OWASP ZAP 是一款开源的 Web 应用安全扫描器，可爬取站点、被动检查流量，并可选地进行主动攻击扫描。它提供桌面应用、无头 CLI、REST API 和 Docker 镜像，常用于 CI 中的自动化安全测试。
security-check
security-check 是一个基于 GoPlus Security API 的安全检查技能，用于评估代币合约、钱包地址、授权、NFT 合约以及钓鱼网站的风险。它无需 API 密钥，免费额度即可满足正常使用，支持以太坊、BSC、Polygon、Arbitrum、Optimism、Base 等多条链。该技能提供 check_address_security 工具进行即时地址风险评估，并在所有转账执行前自动检查。通过分析蜜罐、买卖税、可增发、隐藏所有者、自毁、代理合约、开源状态、持有人数量等字段，按 CRITICAL、HIGH、MEDIUM、LOW 分级输出风险报告，并给出是否可交互的建议。
cookie-consent
该技能用于审查网站是否符合 GDPR/CCPA 关于 Cookie 同意的要求，重点检查在设置非必要 Cookie（如分析、广告、个性化）之前是否已获得用户同意。它提供快速参考、检查项、修复建议和代码审查指引，帮助开发者识别并修复未获同意即加载追踪脚本的问题。
forge-harden-security
forge-harden-security 是一个计划阶段的安全审查技能，以 CSO（首席安全官）角色在代码尚不存在时对构建计划进行威胁评估。它覆盖基础设施层面的关注点（密钥管理、依赖供应链、CI/CD 流水线）与应用层面的关注点（OWASP Top 10、STRIDE 威胁建模），以及构建涉及模型 API 时的 LLM 特有风险。该技能有两种模式：DAILY（默认）为每次迭代运行的零噪声检查，只报告置信度 ≥ 8/10 且带有具体计划修改建议的发现；DEEP 为月度式全面审计，报告置信度 ≥ 2/10 的问题并将低于 8/10 的标记为 TENTATIVE 供用户分诊。审查流程先检查基础设施（密钥存放与轮换、依赖供应链的维护状态与信任姿态、CI/CD 暴露、LLM 表面），再按 OWASP 结构检查应用层（注入、认证/授权、信任边界、敏感数据处理），DEEP 模式额外执行 STRIDE 遍历与发布关闭审计。发现问题后，客观性缺陷（计划强制不安全行为）直接修改 wiki/plan.md 并在门禁中加入验证；权衡性选择作为品味决策返回，需标注各选项的安全含义。报告输出包含修复数量、趋势对比、信任边界列表、发布关闭状态、LLM 表面审查与品味决策数量的结构化摘要。规则要求必须标注严重性（高/中/低），置信度门禁严格，DAILY 为默认模式，DEEP 需显式选择，该技能只改计划不改代码。
eng-security-safety
该技能要求在交付任何代码或基础设施变更前，先进行主动威胁建模、最小权限设计和安全护栏检查。它把每次变更都视为潜在攻击面或故障放大器，强调数据分级、密钥处理与权限范围合规，并把限流、输入校验、监控等安全检查前置到设计阶段，而非事后补救。核心内容包含三个部分：基线检查清单（快速威胁建模、数据监管、访问与身份、依赖卫生、密钥与配置）、工作流程（枚举入口点、定义校验层、保证状态可逆、埋点检测、记录禁止事项）以及验证步骤（运行安全/静态分析工具、同行评审威胁模型、验证滥用场景）。适用于移动端 UI、API、智能合约、管理工具等场景的交付前安全审查。具体收费、价格与平台支持信息暂未提供。
mega-audit
mega-audit 是一个基于智能体技能（agent skill）的智能合约审计流水线编排工具，来自 tradingstrategy-ai/web3-ethereum-defi 项目。它会将同一份智能合约源代码送入多个不同的技能型审计流水线，分别生成审计报告并汇总去重，从而更全面地评估合约的安全性与质量。使用前需要用户提供一个区块链浏览器上的智能合约源码链接，工具会指导安装所需软件（例如集成 Slither 和 Aderyn 的 MCP 服务器）、下载并验证源码与 ABI、整理部署与权限地址信息，然后并行运行各审计技能仓库，最终产出汇总报告与可复现的需求说明。该工具假设审计对象为 Solidity 合约。