scan-composer
面向 Bitrix 模块市场预提交的 headless 安全扫描流程入口，先对单个 Bitrix 模块做原始安全审计，再经 BUS 感知的 severity 复审，最终输出 reviewed JSON 报告。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,332 个结果
security-guardian
Security Guardian 是一款用于安全审计的技能，适用于审查鉴权、权限、输入处理、数据写入、依赖配置、密钥、日志和外部调用。触发场景包括 security、auth、permission、vulnerability、secret、injection，以及审计登录逻辑和权限合规。
chinese-legal-ai-governance
面向 Codex 的中文法律 AI 治理技能适配器，覆盖 AI 应用登记、算法安全评估、科技伦理审查、生成式 AI 合规与 AI 供应商审查等实务工作。
chinese-legal-builder-hub
面向 Codex 的中文法律技能运营适配器，用于查找、评估、安装和管理社区法律技能，并通过安全审查门控、白名单、SHA 锁定更新与质量评估框架控制技能进入环境的风险。
chinese-legal-privacy
面向数据合规与隐私领域的中文法律技能，可在 Codex 中调用原 claude-for-legal-ZH/privacy-legal 内容，无需 Claude Code 斜杠命令。涵盖个人信息保护影响评估、PIPL、数据处理协议、DSAR、隐私政策、合规差距与数据出境等任务，输出为供律师审阅的草稿。
mediapipe_face_mesh
MediaPipe Face Mesh 技能：实时生成 468 个 3D 面部关键点，用于活体检测中的眨眼、头部转动与表情识别等主动挑战。
chrome-auth-recorder
Chrome Auth Recorder 是一个在已登录的浏览器会话中录制操作流程并生成带标注 GIF 教程的技能，无需处理账号密码。适用于记录多步认证工作流、制作团队教程、为缺陷报告提供可视化证据等场景。
agent-security-review
该技能用于在添加认证、处理用户输入、管理密钥、创建 API 端点或实现支付等敏感功能时，帮助代码遵循安全最佳实践并识别潜在漏洞。
security-review
security-review 是一个面向代码库与系统的安全审查技能，按 OWASP Top 10（2025）等十个安全域执行审计，覆盖应用代码、密钥泄露、依赖供应链、第三方代码审查、主机与 VPS、前端、API 边界、基础设施、CI/CD 及 AI/智能体风险，要求以 file:line 或命令输出作为证据。
encryption
Epicenter 的加密模块，提供 HKDF-SHA256 密钥派生、XChaCha20-Poly1305 对称加密、EncryptedBlob 二进制格式、密钥层级与轮换方案，用于实现“加密此数据”、密钥管理和加密原语。
electron-dev
用于开发 Electron 跨平台桌面应用的技能，提供安全优先的架构、IPC 通信、文件操作、系统集成与性能优化模板，并含 React/Vue 集成指南。
security-best-practices
该技能用于针对特定编程语言与框架执行安全最佳实践审查并提出改进建议。它首先识别当前项目所使用的前端和后端语言与框架，然后从技能的 references 目录加载对应的安全文档（文件名格式为 <language>-<framework>-<stack>-security.md，以及框架无关的 <language>-general-<stack>-security.md）作为审查依据。技能支持三种工作模式：一是编写默认安全的代码，适用于新项目或新代码；二是在日常工作中被动检测重大漏洞；三是按用户要求生成带严重性分级与编号的漏洞报告并协助修复。审查范围覆盖前后端，报告以 Markdown 文件形式输出（默认 security_best_practices_report.md），并包含执行摘要、严重性分区、行号引用和关键发现的一句话影响说明。修复时建议逐项处理，避免破坏现有功能。
security-ownership-map
Security Ownership Map 是一个用于分析 git 仓库的安全归属工具。它基于 git 历史构建“人—文件”二部图，计算巴士因子（bus factor）与敏感代码归属，并可导出 CSV/JSON 供 Neo4j、Gephi 等可视化。工具还能基于共享提交的 Jaccard 相似度构建文件共变图，把经常一起变更的文件聚类。使用需要 Python 3 和 networkx 库，通过 pip install networkx 安装。它仅做分析输出，不修改代码；具体收费、平台支持等信息暂未提供。
security-threat-model
该技能面向仓库级安全威胁建模，强调基于代码仓库证据而非通用清单，输出具有 AppSec 可操作性的威胁模型。它通过提取系统模型、划分信任边界、清点资产与入口点、校准攻击者能力，将威胁枚举为具体滥用路径，并对每个威胁做定性的可能性与影响评估，最终给出排序后的优先级和针对性缓解建议。整个流程要求所有架构判断都有仓库证据支撑，并将假设显式列出。工作流包含八个阶段：范围与系统模型提取、边界与资产与入口推导、资产与攻击者能力校准、滥用路径枚举、显式优先级推理、与用户确认服务上下文与假设、缓解措施与关注路径建议，以及最终的质量检查。最终结果以 Markdown 文件写出，命名基于仓库或目标目录名。它还会明确区分运行时代码与 CI/构建/开发工具及测试示例，避免把非运行时组件误纳入威胁范围。使用前需准备仓库根路径、范围内的子路径、预期用途、部署模式、互联网暴露情况和认证期望等输入。该技能适合需要对具体代码库做安全评审的团队，尤其是有明确部署与暴露面信息的项目。限制方面：它依赖仓库摘要与用户确认，若缺少上下文会以条件形式标注建议；具体支持的平台、是否收费、价格等信息暂未提供。
ddd4j-auth
ddd4j-auth 是 ddd4j 全栈技能中的认证授权技能，用于在 Sa-Token、Apache Shiro 或 Spring Security 之间做选择、集成与评审，并把框架身份统一映射到 ddd4j 的 Subject/AuthPrincipal/SubjectProvider 抽象。
ddd4j-boot-auth
ddd4j-boot-auth 用于在 ddd4j-boot 服务中通过自动配置集成 Sa-Token、Apache Shiro 或 Spring Security，涉及 SubjectProvider 装配、Subject 映射、认证异常到 Web 错误契约的映射，以及请求清理，防止令牌与 Subject 状态在线程池中泄漏。
ddd4j-cloud-tenant
ddd4j-cloud 租户与系统隔离技能，覆盖 Tenant 注解、TenantContextHolder、数据范围、SQL 过滤、忽略规则及跨服务传播，用于实现或审查多租户隔离。
ddd4j-javalin-auth
用于在 ddd4j-javalin 路由中集成 Sa-Token、Apache Shiro 或 OIDC/Keycloak 认证的技能，覆盖 SubjectProvider、路由保护、401/403 语义与请求级清理，适用于 6.7.x、7.1.x、7.2.x 维护线。
ddd4j-quarkus-auth
ddd4j-quarkus 认证集成技能，覆盖 JWT、OIDC、Shiro、Sa-Token 与 SubjectProvider、RolesAllowed、请求作用域及错误映射，用于在 ddd4j-quarkus 服务中选型、注册与验证认证授权接线。
ddd4j-quarkus-release
用于 ddd4j-quarkus 3.3.x 与 4.0.x 双维护线的发布验证技能：覆盖干净构建、Git SHA、CI 门禁、Security 扫描、私有仓库发布、61 模块清单与空缓存消费验证，强调发布需显式授权。
burpsuite
Burp Suite 是用于 Web 应用安全测试的集成平台，覆盖攻击面测绘、漏洞发现与利用。本技能介绍代理拦截、Repeater 手工改包、Intruder 参数模糊测试与扫描自动化，适用于 OWASP Top 10 审计、HTTP 流量篡改和自定义安全扩展开发。
dependabot
Dependabot 是 GitHub 原生集成的自动化依赖管理工具，通过创建拉取请求保持依赖安全与最新，支持 npm、pip、Maven、Cargo、Go modules、Docker 等生态，可配置每日/每周漏洞告警、分组更新与 PR 自动化。
owasp-zap
OWASP ZAP（Zed Attack Proxy）是一款免费开源的 Web 应用安全扫描器，支持自动化漏洞扫描、爬虫抓取与 CI/CD 中的 DAST。适合开发者、功能测试人员及自动化流水线使用。
trivy
Trivy 安全扫描器协助技能，覆盖容器镜像扫描、文件系统 CVE 检测、Git 仓库与密钥审计以及 IaC 配置错误检查，适用于在构建与 CI 流程中做安全检查。