bellingcat-osint
Bellingcat OSINT 工具包导航入口，按调查对象类型（船舶、飞机、人物、图像视频、域名、公司、社交媒体、地理位置、卫星地图、冲突武器、野生动植物、存档、数据分析）指向对应分类技能，并列出各类常用工具。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-23 00:13
安全与审计
7,330 个结果
gcp-gke-workload-identity
在 GKE 中配置 Workload Identity，实现 Pod 与 Google Cloud 服务之间免密钥的安全认证，通过 KSA 与 GSA 的 IAM 绑定使用短期自动轮换凭证。
didit-case-management
Didit Case Management API 用于通过 API 集成合规调查案件管理，支持案件的打开、分诊、分配、解决和审计，并可提交 FIU 监管报告。案件生命周期包含 OPEN、AWAITING_USER、RESOLVED 三种状态，解决结果为 FALSE_POSITIVE、VALID_THREAT、INCONCLUSIVE、REQUIREMENTS_NOT_MET 或 REQUIREMENTS_SATISFIED，优先级为 LOW、MEDIUM（默认）或 HIGH。每个案件仅关联一个主体（一个用户或一个企业），可链接该主体的会话、企业会话和交易。案件可由 MANUAL、AML_SCREENING、TRANSACTION_RULE 和 WORKFLOW_BUILDER 四种来源创建，API 创建的案例始终为 MANUAL。所有端点均限定于一个组织和应用，需要 x-api-key 认证，且密钥仅能操作所属应用。API 密钥操作没有关联人员，事件和备注中的 actor_email、actor_name 及 resolved_by_email 均为 null。定价未公布列表价格，需查看 didit.me/pricing。
didit-event-monitoring
Didit Event Monitoring 是 Didit 提供的非货币活动事件监控 API，用于将登录、游戏、奖金、支付、争议、安全、负责任博彩等事件发送到与交易相同的规则引擎进行评分。事件默认关闭，需在业务控制台手动开启。提供服务器端（x-api-key）和设备端（X-Monitoring-Token）两种上报通道，支持单条与批量（最多500条）写入，事件基于 event_id 幂等，同步返回状态和分数，异步关联规则稍后更新。可读取、筛选和删除事件，查询主题时间线，并获取 IP 富化缓存指标。不触发 webhook，事件读取通过响应或列表接口。价格未公布，需查阅官网。
didit-fraud-check
Didit Fraud Check 是 Didit 提供的欺诈与身份风险检查 API 技能，支持在一次同步请求中提交电子邮件、电话、政府证件号码或自有外部 ID 等标识符，选择运行多个检查模块，并返回每个模块状态、五个独立风险维度及审批建议。配套 Plan 端点可预检可用性与预估价格而不实际执行，另有独立的 IP 风险评分端点。
didit-fraud-networks
Didit Fraud Networks 是 Didit 平台提供的欺诈网络检测接口，用于发现共享同一信号（如设备、IP、证件号、电话、邮箱、地址、人脸）的账户群组，从而识别团伙欺诈与多账号行为。网络在验证会话、企业会话和交易完成时自动构建，无需提交数据。接口支持列出网络（可按状态、信号类型、模式、风险等级、规模、时间、关键词筛选，带 KPI 统计与分页）、获取单个网络详情（含统计、欺诈标签、风险信号、复核字段）、获取关系图（支持深度、聚焦节点）、成员、信号、时间线、地理分布图和 PDF 报告，也可按会话、企业会话、用户、企业、交易或交易方反查其所属网络。所有请求需 x-api-key 头，密钥须为应用主密钥或全权限命名密钥，且 application_id 必须与密钥所属应用一致。网络聚类跨组织内全部应用，使用 API 密钥可看到其他应用中主体的成员、图、地图和报告。仅生产数据可用，沙箱返回空列表。信号值不返回，精确匹配信号以规范化值的键控哈希标识，人脸按相似度匹配。共享信号是调查线索而非欺诈证据，关联异常多主体的信号标记为 is_hub。状态变更、驳回、加入黑名单、创建案件和网络备注需在业务控制台进行。端点价格未公布，需查看官方定价页。
didit-mcp-server
Didit MCP Server 是 Didit 身份平台提供的 MCP（Model Context Protocol）服务器，让 AI 助手以已登录 Didit 用户的身份，通过工具调用操作 Didit 的各类功能。它支持 OAuth 2.1 + PKCE 登录，没有 API Key 模式，覆盖用户所属的组织与应用，权限取用户控制台角色与授权范围的交集。可执行会话创建与管理、工作流编辑、问卷、独立身份验证（证件、地址、活体、人脸、AML、邮箱、手机等）、交易监控、案件、名单与黑名单、Webhook、报表与审计日志等读写操作。服务器托管在 https://mcp.didit.me/mcp，也可通过 npm 包 @didit-protocol/mcp-server 本地 stdio 运行，或自托管 HTTP 服务，开源协议为 MIT。适用于 AI 助手在控制台内代用户完成身份验证相关操作的场景；后端集成仍应使用 API Key 方式。
didit-sdk-integration
该技能用于把 Didit 客户端 SDK 集成到 Web 与移动应用中，覆盖身份验证会话、交易监控与终端用户认证三类产品。它说明在 Web 端用重定向、iframe 或 JavaScript SDK 发起验证，在 iOS、Android、React Native、Flutter 中用原生 SDK（支持 NFC 与原生相机），并强调 API key 只能留在后端、SDK 结果仅作界面提示、最终须由后端通过 webhook 或决策接口确认。资料同时给出后端创建会话与令牌的接口、各平台版本号、计费口径及文档链接。
multi-tenant-safety
多租户隔离安全规范技能，用于在代码涉及 TenantContext、tenantId、租户拦截器/过滤器、X-Tenant-Code 时触发，防止租户越权访问与数据串租户等安全问题。
payment-callback-safety
支付回调安全规范，用于防范第三方支付回调与 webhook 通知中的伪造、重放与金额篡改问题，详见资料。
two-factor-authentication-best-practices
基于 Better Auth 的双因素认证（2FA）实现指南，涵盖 TOTP 验证器、邮件/短信 OTP、备用码、可信设备与登录流程配置。
esp32-secureboot
面向 ESP32 量产固件的安全启动 v2 与 Flash Encryption 规划与演练技能，强调先演练后烧录、密钥治理优先，覆盖 eFuse 一次性约束、SBv2 事实核对、FE 模式限制与 OTA 衔接，并明确反幻觉与交接边界。
privacy-guard
privacy-guard 用于防止把私有基础设施细节误发到公开仓库。它包含始终生效的行为规则，以及每仓库的技术闸门：基于本地忽略名单的 pre-commit 钩子加 gitleaks，拦截主机名、内网 IP、用户名、私人邮箱和路径等敏感信息。
auth0
Auth0 身份认证与授权平台助手，涵盖 OAuth2、OpenID Connect、JWT 校验与 RBAC。用于将 Auth0 集成到 Web/移动应用、配置 Universal Login、B2B 多租户身份、M2M 授权及后端 API 令牌校验等场景。
certbot
Certbot 是免费开源的 SSL/TLS 证书自动化工具，用于为手动管理的网站申请和续期 Let's Encrypt 证书以启用 HTTPS。支持 HTTP-01 与 DNS-01 验证、通配符证书、Nginx/Apache 自动配置与证书自动续期。
firebase
针对 Firebase 与 Cloud Firestore 的专家级辅助技能，覆盖集合/文档数据模型、实时监听器、安全规则与离线缓存，适用于构建实时同步的 Web 与移动应用。
passport
面向 Node.js/Express 的 Passport.js 认证辅助技能，覆盖 Local、JWT 与 OAuth 策略，用于在 Express、Koa、NestJS 后端集成认证中间件，并处理会话序列化、无状态令牌校验与常见排错。
security-patterns
前端安全模式参考技能，涵盖 XSS 防护、内容安全策略、CSRF 防护、输入清洗、认证令牌处理、安全响应头、依赖安全与第三方脚本等主题，以代码示例与检查清单形式给出实践建议。
open-source-policy
该技能面向开源仓库治理，围绕透明度原则提供安全徽章、许可证合规、SBOM 生成与漏洞管理能力。它指导维护者为新公开仓库配置分支保护、签名提交、依赖固定与漏洞扫描，申请 OpenSSF Scorecard（目标 ≥7.0）、CII 最佳实践（最低 Passing）与 SLSA Level 3 构建证明，并集成 FOSSA 许可证扫描、SonarCloud 质量门禁、CycloneDX/SPDX 格式 SBOM 生成及制品签名。技能还给出漏洞修复 SLA、安全架构文档矩阵与 README 徽章示例，适用于公开仓库建设、客户尽职调查与供应链安全准备，不适用于私有仓库、安全事件响应或战术性漏洞修复。
risk-assessment-frameworks
该技能为瑞典政治情报提供系统化的风险评估方法，用于评估政治、机构与民主风险。它整合V-Dem、透明国际（Transparency International）、自由之家（Freedom House）等国际框架，以及平台自有的50多条Drools风险规则，构建针对民主倒退、腐败、机构侵蚀、政治暴力与联盟不稳定的早期预警能力。技能覆盖民主健康评估、腐败风险识别、联盟稳定评估与问责有效性测量等用途，并给出不宜使用的场景（如政治迫害、伪造风险操纵舆论等）。
security-by-design
security-by-design 技能将安全融入 CIA 平台软件开发生命周期的各阶段，在编码前完成威胁建模，采用 STRIDE 方法、纵深防御与安全控制，覆盖需求到维护的安全活动。
Authentication and Credentials for Agentic Workflows
这是一套面向 GitHub Agentic Workflows 的认证与凭据管理安全模式，覆盖 GitHub 令牌类型（GITHUB_TOKEN、PAT、GitHub App 令牌）、凭据存储（GitHub Secrets、环境与组织密钥、AWS Secrets Manager、HashiCorp Vault）、令牌轮换、最小权限、MCP 服务器认证和 API 密钥管理，帮助构建生产可用的自主智能体系统。
high-risk-review
high-risk-review 是一个用于高风险任务的增强验证技能，适合安全、基础设施、权限、数据丢失、性能热点等场景。它对关键假设做独立核查并结合权威网络来源，输出最终建议与明确的验证步骤。
security-review
Security Review Skill 是一个用于代码安全审查的技能，旨在确保代码遵循安全最佳实践并识别潜在漏洞。根据资料，该技能在添加认证、处理用户输入、使用密钥凭据、创建 API 端点、实现支付/敏感功能、处理文件上传、传输敏感数据或集成第三方 API 时激活。它提供涵盖以下方面的安全检查清单与验证步骤：密钥管理（禁止硬编码密钥，使用环境变量）、输入验证（使用 zod 等 schema 校验用户输入与文件上传）、SQL 注入防护（使用参数化查询）、认证与授权（使用 httpOnly cookie、权限校验、Supabase 行级安全）、XSS 防护（使用 DOMPurify 清洗 HTML、配置 CSP 头）、CSRF 防护（CSRF token、SameSite cookie）、速率限制、敏感数据暴露防护（日志脱敏、通用错误信息）、区块链安全（Solana 钱包签名与交易验证）、依赖安全（npm audit、锁定文件）等。此外还包含自动化安全测试示例、部署前安全检查清单，以及 OWASP Top 10 等资源链接。