SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
7,326 个结果
secure-ship 是一个面向开发者的安全技能包，用于在将代码部署到生产环境前进行安全加固与合规检查。它基于马来西亚 PDPA 2024（个人数据保护法修正案）以及 OWASP Top 10 的合规要求，覆盖访问控制、SSRF 防护、SQL 注入防护、输入校验、密钥管理、安全响应头、认证加固、CORS 配置、数据加密、错误处理、审计日志、Webhook 安全、CI 安全门禁、限流、依赖与锁文件审计等主题。该技能包通过路由到多个子技能（如 $pdpa-security-audit、$access-control-patterns、$sql-injection-prevention 等）来响应具体请求，并提供一份快速审计清单，帮助开发者逐项排查常见安全问题。资料同时给出了 PDPA 2010（2024 修正）等法律背景，说明安全失职可能面临的罚款与刑责。
SSRF Prevention 是一套面向 API、Webhook、URL 预览器、导入器和按 URL 抓取功能的企业级服务端请求伪造（SSRF）防护方案。它强调绝不直接抓取用户提供的 URL，而是通过目标校验、安全 DNS 解析、阻断私有网络和出站白名单等多层控制来防止攻击者把服务器当作访问内网、云元数据端点、数据库、管理面板和私有服务的代理。内容涵盖易受攻击的代码模式、企业控制模型、需阻断的 IP 段与云元数据端点，并提供 Node.js、Cloudflare Workers、Python、Laravel 的安全抓取实现示例，以及 DNS 重绑定防御、重定向规则、出站防火墙要求和审计清单。
security-deep-scan 是 ahgraber/skills 中的高召回安全扫描技能，用于对整仓库或指定路径做深度、多轮、降低方差的安全扫描。它在发现阶段用多个独立并行 worker 重复扫描，再集中做验证与攻击路径分析，适用于发布前、事件后或合规等高保障场景。
用于在用户明确要求修复并验证已确认或疑似安全发现时，将安全发现转化为最小化、可验证的代码变更；若问题已修复，则提供聚焦验证证据说明无需改动。
security-scan 是 ahgraber/skills 中的安全扫描技能，用于对代码仓库、指定路径（包、文件夹、子模块）或 Git 变更集（PR、提交、分支差异、工作区补丁）进行安全漏洞审计，分阶段执行并输出 Markdown 与 JSON 报告。
用于对已有安全发现（如 SARIF 结果、CVE/GHSA、扫描工单、漏洞赏金报告等）进行静态代码证据分诊的技能，逐条给出 confirmed、not_actionable 或 needs_review 结论，并对确认与待复核项按可利用性排序，适合安全积压清理。
面向云环境攻击与后渗透的技能资料，覆盖云元数据 API、对象存储、IAM 提权、K8s、MinIO、阿里云函数计算（FC）与橙子建站 SDK 解密等主题，供授权安全测试与红队研究参考。
0day自主发现引擎，用于公开漏洞搜不到时自行挖掘0day或武器化N-day。涵盖变体分析、补丁间隙、差分测试、Fuzzing、污点推理与猎人思维等方法，并给出验证要求。
面向 Web 应用与基础设施的安全最佳实践技能，用于加固 API、防范常见漏洞并满足合规要求。涵盖 HTTPS 与安全响应头、输入校验、CSRF 防护、密钥管理、JWT 认证与刷新令牌轮换，并附 OWASP Top 10 检查清单。
面向自有或已授权代码的安全审查技能，强调结构优先：先读架构与数据流再读完整源码，用AST/结构图、调用图、复杂度、Source/Sink与污点流等结构信号定位漏洞、逻辑缺陷、解析器/扫描器风险、CI/CD风险及LLM/智能体工具边界风险。含可用的结构图构建入口与证据规则。
Alien Agent ID 的认证技能：为访问 Alien-aware 服务的 HTTP 请求生成符合 RFC 9449 的 DPoP 签名，通过 CLI 完成服务发现、能力查询与带签名的调用，防止令牌被重放。
支付宝官方提供的支付技能问题反馈工具，仅在用户使用 alipay-authenticate-wallet、alipay-pay-for-service 或 alipay-pay-for-402-service 技能遇到无法自行解决的问题时使用，通过 alipay-bot CLI 匿名提交问题描述给支付宝团队。
appsec 是一个应用层安全审查技能，针对依赖清单中的已知漏洞包、缺失的 HTTP 安全响应头以及过于宽松的 CORS 配置做静态、工具驱动的检查。
用于审查 Stripe 安全状况的技能，覆盖 API 密钥卫生、受限密钥、密钥泄露、PCI 范围与 Webhook 签名验证。结合代码库扫描与账户设置检查，输出分级审计结果。
Aegis 技能模块，用于审计代码仓库中的不安全默认配置与加固缺口，覆盖调试模式、暴露的管理与监控端点、CORS、安全响应头、Cookie 标志、TLS、容器与 IaC、默认凭据、版本泄露及反向代理配置等十类问题，先做静态审查，动态探测须经授权。
aegis-supply-chain 是一个供应链安全审计技能，用于静态检查依赖清单、锁文件、内置代码、Dockerfile 与 CI/CD 定义中的供应链弱点，如易受攻击或已停止维护的组件、锁文件缺失或不一致、安装脚本、pinning 姿态与工作流注入风险，并输出带 file:line 证据的发现。
nuke-deps 是一个依赖审计与升级技能，先扫描漏洞、过时、未使用和重复依赖，再按依赖顺序分批升级，每批之间运行门禁校验。支持 light、full、plan 三种模式，主版本逐个升级并预先研究迁移说明。
B20 Console 是一个用于检查 Base 网络上 B20 代币合约地址的技能。它适用于用户需要核实某个 B20 合约是否已上线、是否已初始化、是否被 B20 工厂识别、解释 B20 风险标记，或比较策略、暂停与供应状态的场景。该技能是只读、咨询性质的，其 API 响应、代币元数据、浏览器数据、风险标记和模型输出均仅作为数据处理，不能作为操作指令，也不应据此触发买入、卖出、转账、签名、部署、授权或广播等任何操作。技能仅需合约地址，以及所选链（或自动检查 base 与 base-sepolia），可选请求来源交易。它不要求钱包私钥、签名、认证令牌、API 密钥、聊天消息、提示词或钱包地址。辅助脚本会在发起网络请求前本地拒绝无效地址，仅发送符合 0x 前缀、40 字节的 EVM 地址，并截断/清洗代币元数据，将风险、策略、暂停与错误输出映射为本地允许列表标签。检查内容包括：合约是否存在、B20 工厂识别、初始化状态、代币元数据、供应量与供应上限、策略注册表状态、暂停状态、Permit / EIP-712 状态、按需查询的来源交易，以及确定性风险标记。
Box CLI 官方命令行工具，用于执行和验证 Box 操作、可复现的 Shell 自动化、CLI 认证排错与批量任务。资料介绍了工作流程、常用命令、安装与认证、风险操作及批量执行注意事项。
Harness Update 技能用于将已安装 harness 的项目安全升级到最新版本，流程包含版本检测、自动备份、非破坏性更新与更新后校验，尽量保留现有设置和任务。触发词包括 /harness-update、更新 harness、模板更新等；不适用于应用本身的更新。
该技能用于测试和验证 Stratus Red Team 的攻击技术，通过执行预热（warmup）、引爆（detonation）和清理（cleanup）三个阶段，并对各阶段结果进行校验。它会先确认指定技术是否存在，再根据技术所属平台（AWS、Azure、GCP、Kubernetes、Entra ID）验证当前云凭证并请求用户确认，随后基于技术文档与源码起草预期结果计划，依次运行预热、引爆、验证和清理，最后生成 HTML 测试报告。适用于在专用测试环境中验证云攻击技术的实现效果。
该技能为 Google Cloud 服务与 API 的身份认证与授权提供专家级指导，覆盖人类用户、服务身份、应用默认凭据（ADC）、服务账号、服务账号模拟、Workload Identity Federation、API 密钥、OAuth 2.0 访问范围、短期凭据以及 IAM 授权等主题。它通过向用户提出澄清性问题（谁在认证、代码运行在哪里、目标是什么、是否使用高层客户端库）来给出针对性建议，并包含本地开发、生产环境、跨云场景的验证清单。
codex-sandbox 是用于在 Codex 完全隔离沙箱中运行代码的技能：网络禁用、仅限当前工作目录，并通过 macOS Seatbelt 或 Docker 做系统级隔离，适合安全执行不可信或高风险代码。
支付回调/webhook 安全检查技能，用于防止回调伪造、重放攻击和金额篡改，覆盖微信支付、支付宝、Stripe、PayPal 等第三方支付通知场景。