security-best-practices
该技能是一个“路由优先”的 Web / 应用 / API 安全加固技能。当团队提出“让系统变安全”但缺失的安全层尚不明确时使用。它不罗列庞大的 OWASP 清单或中间件目录，而是先界定攻击面与风险，选择一个主要加固模式（浏览器边界策略、会话 Cookie 与 CSRF、滥用控制、验证与不安全执行、密钥与运行时配置、审查与验证），推荐最小可行的首批切片，给出验证阶梯，并把相邻工作如实路由到其他技能。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
安全与审计
4,900 个结果
profile-website-bot-detection
该技能用于分析目标网站的机器人检测（Bot Detection）供应商、具体产品与挑战类型，并支持在 stealth（隐身）与非 stealth 浏览器模式之间进行对比分析。它通过 Kernel 浏览器创建两种会话，在控制网络路径的前提下访问目标站点，自动分析首页与登录页，识别 Akamai、Cloudflare、DataDome、HUMAN/PerimeterX、Imperva、Kasada、Google reCAPTCHA、hCaptcha、FingerprintJS、Arkose Labs 等供应商及其产品，并输出 JSON 报告与页面截图。适用于需要评估网站反爬机制、比较隐身浏览器有效性或排查被拦截原因的场景。使用前需安装并认证 Kernel CLI，准备 Bash、Node.js 22+ 与 jq，并设置 KERNEL_API_KEY。
audit-logging
用于实现集中式审计日志与SIEM集成、日志保留和安全监控的技能，适用合规审计轨迹建设。
security-scanning
Security Scanning 是一个面向 CI 流程的安全扫描技能，覆盖密钥泄露、依赖漏洞、SAST 静态分析、问题分级处置以及带过期时间的例外管理。它强调密钥问题快速失败并在暴露后轮换，依赖问题对严重和高危级别进行门禁并自动化更新，SAST 从高信号规则起步并逐步收紧。该技能还提出开源安全评估框架，从许可证风险、按严重度加权的 CVE、组件过时程度三个独立维度评估第三方组件，并以最差维度作为门禁依据。例外需要提供原因、负责人和过期时间。
threat-modeling
该技能用于在功能、系统或架构落地前开展结构化的威胁建模会话，覆盖 STRIDE、攻击树、数据流图（DFD）与滥用用例。适用于存在设计文档、功能规格或架构图但尚无代码的阶段，帮助识别安全风险并制定缓解措施。
windows-hardening
Windows Hardening 是一个用于加固 Windows 服务器的技能，依据 Microsoft 安全基线和 CIS 基准进行配置。它涵盖安全基线部署、账户策略、组策略安全设置、Windows 防火墙、审计策略、Windows Defender 以及 BitLocker 加密等。适用于新服务器加固、合规审计准备（SOC2、PCI-DSS、HIPAA）、安全事件后的配置以及域组策略安全标准建立。
firebase-auth
Firebase Authentication 是 Firebase 平台提供的身份认证服务，支持邮箱/密码、第三方 OAuth、电话认证、自定义令牌以及多因素认证（MFA）等登录方式。使用该服务可完成用户注册、登录、登出、密码重置、会话管理、JWT ID Token 验证与自定义 Claims（角色）设置，并能在客户端与服务端（Admin SDK）协同处理认证流程。适用于需要在 Web 应用中接入完整认证体系的场景。
security-scanning-security-sast
该技能是一个静态应用安全测试（SAST）插件，用于跨多种语言、框架和安全模式进行代码漏洞检测。它适用于代码审查安全分析、注入漏洞、硬编码密钥、框架特定模式、自定义安全策略执行、部署前验证、遗留代码评估以及合规性检查（OWASP、PCI-DSS、SOC2）。技能提供详细指南，并包含针对密钥扫描、OWASP Top 10 映射、REST/GraphQL 端点等专项工具文档。不适用于仅需运行时测试或渗透测试、无法访问源代码或构建产物、或环境禁止第三方扫描工具的场景。使用时需注意避免未经批准上传专有代码，启用自动修复或阻止发布前需人工审查。
syncfusion-blazor-security
该技能用于为浏览器托管的 Syncfusion Blazor 组件配置内容安全策略（CSP），适用于 Blazor Server、WebAssembly 及 Auto 渲染模式，覆盖自托管（Static Web Assets）与 CDN 两种资源加载方式。需在 App.razor 或 index.html 中添加 CSP <meta> 标签，并按需配置 font-src、style-src、script-src、connect-src、img-src、object-src 等指令；CDN 用户还需在 script-src 与 style-src 中追加 CDN 域名。
recon
面向授权渗透测试、CTF 挑战和漏洞赏金项目的结构化侦察与攻击面枚举技能。在执行任何命令前先确认用户拥有对目标的书面授权，且目标在既定范围内；若授权不明确则先询问，绝不假设已获授权。技能分三阶段推进：被动侦察阶段在不直接接触目标的情况下收集信息，包括 DNS 记录查询与区域传送尝试、通过证书透明度枚举子域名、WHOIS 注册信息、搜索引擎 dork 查询、技术栈指纹识别、公开代码仓库搜索以及 Wayback Machine 历史数据；主动侦察阶段仅在获得明确授权时进行，包括使用 nmap 进行端口扫描、基于开放端口的服务枚举、使用 gobuster、feroxbuster 或 dirsearch 进行 Web 内容发现、虚拟主机枚举、API 端点发现以及 SSL/TLS 分析；分析阶段则关联全部发现，按潜在影响严重性、可利用可能性和暴露程度对攻击向量排序。最终产出结构化侦察报告，包含目标、确认范围、日期、被动发现表格、发现的子域名、检测到的技术、主动发现表格、攻击面摘要及建议后续步骤。该技能强调边界约束：不得扫描范围外或相邻系统，对激进扫描限速以避免干扰，记录所有执行过的命令，发现第三方入侵证据时立即提醒用户，并拒绝无明确授权或针对无关目标的大规模扫描请求。相关参考包括 PTES、OWASP 测试指南和漏洞赏金方法论。
metasploit-framework
Metasploit Framework 是用于授权渗透测试的漏洞利用与后渗透平台，提供漏洞利用、载荷生成、辅助扫描和会话维持等能力。该技能明确要求：仅限教育或经书面授权的安全评估，未获确认时只提供只读与防守性指导。
adding-auth
为 Web 应用接入基于 NextAuth.js（Auth.js）的身份验证，涵盖 OAuth 提供商、会话管理与受保护路由，适用于用户提出添加登录、注册、OAuth 或会话管理需求的场景。
security-guidance
Security Guidance 是 OWASP Secure Agent Playbook 中的一项安全优先开发指导技能，基于 OWASP ASVS（应用安全验证标准）构建。它用于在规划或编写涉及安全敏感操作的代码时，自动提供对应的 ASVS 验证要求。技能以参考索引形式组织，覆盖编码与净化架构、注入防护、输入验证、业务逻辑安全、反自动化、浏览器安全、Web 服务、文件处理、认证、会话管理、授权等章节。使用时先根据任务匹配索引中的触发条件，再读取对应参考文件，按最安全选项实现要求，并以行内注释引用所满足的条款。若索引中无匹配项或指导冲突，技能要求停止并上报，而非猜测。
risk-assessment
用于评估 DeFi 协议风险状况的技能，覆盖黑客攻击历史、预言机依赖、金库健康度、TVL 集中度与收益可持续性，按固定工作流输出风险报告。
security-audit
security-audit 是一个面向游戏项目的安全审计技能，用于在公开发布或多人在线功能上线前，系统排查存档篡改、作弊途径、网络漏洞、数据泄露与输入校验等问题。它以 6 类审计分类扫描代码库，为每个发现项标注严重级别与状态，最终生成带修复优先级的安全审计报告，并给出发布建议（不予评估、可发布、发布前修复或禁止发布）。该技能运行于客户端技能体系内，需读取项目配置以确定引擎、语言与平台目标；在无法确认引擎 API 名称或代码范围时，相应分类会被标记为未评估，而非视为通过。
security-nextjs
该技能提供 Next.js 应用的安全审计模式，覆盖 App Router 与 Server Actions 场景。主要用于检查 NEXT_PUBLIC_* 环境变量泄露、Server Action 鉴权缺失、API 路由鉴权、middleware matcher 覆盖范围、输入校验、动态路由 IDOR、dangerouslySetInnerHTML 以及安全响应头配置等问题，并附带严重程度分级与快速 grep 检索命令。
gsd-secure-phase
中文介绍正在整理，稍后补充。
windows-privilege-escalation
面向授权渗透测试的 Windows 提权方法论技能，系统化地帮助发现与利用目标主机上的本地权限提升漏洞，并强调必须获得书面授权、设置确认门禁，未确认前仅提供只读防御性指导。
penetration-testing
渗透测试（Penetration Testing）是一个用于执行基础渗透测试与安全评估的技能，通过侦察、漏洞发现和利用技术来验证安全控制措施。该技能适用于在获得授权的前提下对目标系统进行安全测试，涵盖侦察、扫描、利用、后渗透和报告五个阶段，并提供 DNS 枚举、端口扫描、Web 扫描、SQL 注入测试等常用命令示例，同时强调书面授权、明确范围、记录一切等最佳实践。
better-auth-core
面向 TypeScript 应用的 Better Auth 核心配置技能，用于创建 auth 实例、接入数据库与社交登录、挂载服务端处理器与客户端实例，并安全使用会话和服务端 API。
oauth-integrations
该技能用于在 Cloudflare Workers 等边缘环境中实现 GitHub 与 Microsoft Entra（Azure AD）的 OAuth 2.0 认证。内容涵盖 GitHub OAuth 的必需请求头（如 User-Agent）、私有邮箱处理、令牌交换的 JSON 响应设置，以及 Microsoft Entra 在 Workers 中无法使用 MSAL.js 时的手动 OAuth 流程、所需作用域（含 User.Read、offline_access）、Graph /me 用户信息端点、租户配置、Azure 门户设置、令牌生命周期，并附常见错误与修正对照表。
devsecops-expert
DevSecOps 专家技能，专注于安全 CI/CD 流水线、左移安全、安全自动化与合规即代码。覆盖安全扫描（SAST、DAST、SCA）、基础设施安全（IaC 扫描、策略即代码）、容器与 Kubernetes 安全、密钥管理、供应链安全（SBOM、签名与溯源）以及合规自动化。强调以 TDD 方式先编写失败的安全测试再实现安全门禁，并提供增量扫描、并行分析、缓存扫描结果等性能优化模式。适用于在开发早期集成安全、构建自动化安全门禁、加固容器与集群、保护敏感数据与软件供应链等场景。
smtp-penetration-testing
该技能用于对 SMTP（简单邮件传输协议）服务器开展安全评估，识别开放中继、用户枚举、认证弱点、TLS 配置及邮件认证（SPF/DKIM/DMARC）等问题。技能强调仅限授权使用：执行任何探测、利用、更改、持久化、数据提取或凭据访问命令前，必须先确认目标、书面授权与范围，并展示具体命令等待明确确认；未确认时保持只读并提供防御性指导。所需工具包括 Nmap、Netcat、Hydra、smtp-user-enum 和 Metasploit。
crabtrap-llm-proxy
CrabTrap 是一个 LLM-as-a-judge 的 HTTP/HTTPS 正向代理，部署在 AI 智能体与外部 API 之间，拦截并评估所有出站请求。请求先经过确定性的静态规则（前缀/精确/glob URL 匹配），未命中时再由 LLM 裁判依据自然语言安全策略进行判定。被拦截的请求返回 403 及原因，所有决策记录到 PostgreSQL。它提供 SSRF 防护、速率限制、审计日志、管理 UI 与 API、策略构建器及回放评估系统，支持 Docker Compose 部署，可通过标准代理环境变量或各语言 SDK 接入智能体。