variant-analysis
用于在代码库中查找相似漏洞和缺陷的基于模式的分析技能，可辅助编写 CodeQL/Semgrep 查询、分析安全漏洞，并在发现初始问题后进行系统性代码审计。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,367 个结果
framework-compliance-triage
Prowler Cloud 的框架合规分诊技能：以迭代交互流程引导云账号完成配置、报告与修复，直至满足所选安全或行业合规框架。
maui-authentication
该技能为 .NET MAUI 应用提供安全、跨平台的认证实现模式，涵盖 OAuth2、OpenID Connect、JWT 处理、安全存储、令牌刷新，以及基于 WebAuthenticator 的平台专属登录流程。其目标是确保所有认证相关代码安全、可维护，并符合现代安全实践。核心原则包括安全优先（敏感数据一律使用 SecureStorage，禁止存于 Preferences 或明文）、使用平台原生认证流程（iOS/macOS 用 ASWebAuthenticationSession，Android 用 Chrome Custom Tabs，Windows 用系统浏览器）、令牌生命周期管理（始终实现刷新令牌逻辑与过期检查）、抽象化（将认证逻辑封装在服务与接口中保持 UI 简洁）、最小权限（仅申请应用所需的作用域）。支持的认证模式有 OAuth2 授权码流程（推荐）、OpenID Connect（OIDC）、基于 JWT 的 API、自定义后端认证，以及社交登录（Google、Microsoft、Apple）。适合在为 MAUI 应用添加登录、保护 API 调用或管理令牌生命周期时使用。
privacy-policy
为 Apple 平台应用生成隐私政策、服务条款与 EULA 的技能。可检测项目中的数据收集模式、第三方 SDK 与权限声明，按目标市场补充 GDPR、CCPA、DPDP、COPPA 条款，并输出 Apple 隐私营养标签映射与提交清单。
phoenix-ambiguity-hunter
Phoenix Security 规范流水线中的角色 05 澄清猎手，对规范性需求做红队审查，专查多租户隔离缺口、模糊表述及 Phoenix 特有失败模式，输出可重写需求文本；PSC-03/06/08 违规自动定为 Critical。
phoenix-batch-planner
Phoenix Security 规范流水线中的第 09 号角色（Batch Planner，批次规划器）。它负责将 Phoenix Security 的功能拆分为安全、可增量交付的批次，批次规模按 12 人团队、每个批次 1–3 工程师日来设定。该角色依赖第 04、06、07、08 号角色（需求、安全、契约、验证矩阵）的输出，并向下游第 10 号角色（Final Gate）提供 09-batch-plan.md 及 {slug}-cursor-plan.md 片段。其核心规则包括：安全优先（P0 R-SEC-* 与 PSC-03、PSC-06 必须进入 Batch 1）、契约先于消费者、集成最后、每批次以验证矩阵中的二元“完成条件”收尾、不可逆步骤需显式标记、涉及 LLM 组件的批次需人工评审签核、被阻塞批次需标注 BLOCKED 与 Q-ID。
phoenix-constraint-distiller
Phoenix Security 规范流水线中的角色 03 约束蒸馏器，将 SCOPE_DEFINITION 提炼为 8–15 条紧凑、可测试的 ACTIVE_SET 约束，供下游需求工程使用，输出 03-active-set.md。
phoenix-requirements-engineer
Phoenix Security 规范流水线中的第 04 号角色——需求工程师（Requirements Engineer）。该技能将 Phoenix Security 的功能意图转化为可测试的 RFC 2119 需求，并使用结构化 ID（如 R-FUNC、R-SEC、R-REL、R-UX、R-DX、R-INT、R-PERF、R-COMP）进行编号。它依赖角色 01、02、03 的输出（CLEAN_CONTEXT、SCOPE_DEFINITION、ACTIVE_SET），输出 04-requirements-v{N}.md，并传递给角色 05（Ambiguity Hunter）进行迭代（最多 3 轮）。该角色设有 token 预算（≤1500 tokens）和需求数量上限（最多 40 条），强调需求必须可验证、使用 RFC 2119 严格措辞、禁止编造事实，并对客户特定需求、AI 自主行为等设有专门标记规则。
phoenix-scope-cutter
Phoenix Security 规范管线中的第二环（Role 02），用于把 Role 01 产出的 CLEAN_CONTEXT 转换为明确且最小的 SCOPE_DEFINITION，界定目标、非目标、范围内外边界、假设与成功指标，并交棒给 Role 03 Constraint Distiller。
phoenix-security-engineer
Phoenix Security 规范流水线第 06 环节的安全工程师角色，基于 Phoenix Security 实际架构产出威胁模型与安全需求，输出 06-security.md 并传递给第 07 环节合约架构师。
phoenix-verification-matrix
Phoenix Security 规范流水线中的第 08 号角色（Role 08），用于将需求中的每条 MUST/MUST NOT 映射到具体的验证证明方法。它基于 Phoenix 的证明类型层级（unit-test、integration-test、contract-test、static-analysis、infra-check、manual-review、pen-test、load-test），为每条需求指定证明类型、证明产物与负向测试，并输出 08-verification-matrix.md。该角色依赖 Role 04、06、07（NORMATIVE_REQUIREMENTS、SECURITY_REQUIREMENTS、CONTRACTS），输出供 Role 09（Batch Planner）使用。核心规则要求每条 MUST/MUST NOT 至少有一条证明路径，无法证明时需降级或标记为 OPEN QUESTION；认证、租户隔离与输入校验需求必须包含负向测试；unverified_musts 大于 0 会成为 Final Gate 阻塞项。
production-readiness-review
这是一个面向代码库的“生产就绪审查”技能，采用对抗式的高级/资深工程师视角，对照 PRD、计划或实现方案验证真实代码库是否真正完成。它强调只以代码、接线、配置和故障行为为证据，而非计划或测试通过率。流程包括：输入契约、确定性扫描、需求追溯矩阵、测试完整性验证、影响范围分析、非功能门禁、严重度评级、输出审计报告，以及授权后的修复。核心目标是避免两种失败：批准未完成的工作，或产出从未打开文件的冗长审查。
codepatrol-sync-state
这是一个由 codepatrol 技能启动的子代理执行的内部状态同步技能，并非供用户直接调用。其作用是：将修复安全调查所发现问题而提交的 pull request 的实际状态，同步反映到分诊页面（トリアージページ）和调查报告中。修复工作由多个人类与 AI 并行推进，页面记录的状态会与实际状态产生偏差，例如已 merge 却仍显示为待评审、他人已着手却未记录、只写在一个页面上等。状态偏差会导致后续调查或分诊把已处理的问题误判为未处理。该技能在无法向用户提问、不阅读代码、只读 pull request（不创建或编辑）、且仅处理 Cosense 写入目标的前提下运行，按控制方指示确定起点页面与仓库。
dp-session-forensics-cloud
dp-session-forensics-cloud 是 DeepWorks 会话取证工具的云端扩展版，用一个入口同时管理本地与云端会话取证。它通过 --source 参数切换数据面：teams（默认）走云 API，可查询 Agent Teams 云端会话，支持拉取会话列表与消息明细，IAM token 会从已登录的对应桌面端自动同步；local 则转发本地版工具，查询本机 opencode.db。工具支持按标题搜索、dump 拉取单个会话全量消息、export 导出归档（jsonl 加 markdown），可区分 test 与 prod 双环境。适用于云端任务事后回溯、查看收发内容与耗时、取证材料落盘归档等场景。
agy-auto
agy-auto 是 Google Antigravity CLI（agy）的 PreToolUse 安全门钩子，让 agy 在无人值守或后台代理循环中运行，而无需使用 --dangerously-skip-permissions。它通过多层策略网关审查每次工具调用，包括硬拒绝、快速放行、LLM 分类回退和一次性令牌批准。
ai-agent-security
面向 AI 智能体的安全防护技能，覆盖提示注入、工具滥用、数据外泄与权限提升等风险，提供输入校验、工具沙箱、许可名单、审计日志等分层防御思路与示例。
aws-compliance-checker
aws-compliance-checker 是一个用于对 AWS 环境执行合规检查的技能，支持针对 CIS AWS Foundations、PCI-DSS、HIPAA 和 SOC 2 等基准的自动化合规验证，适用于审计准备与持续合规监控。
kinde-authorization
该技能用于为组织设计、配置、分配、执行、刷新并验证以权限键为核心的 RBAC；依赖 kinde-b2b 提供的租户契约，产出权限目录、角色矩阵、分配矩阵和执行矩阵，应用与 API 决策面向权限键而非角色名称。
configure-authentication
为 Speakeasy CLI 配置认证的 Agent Skill，适用于首次设置、排查 unauthorized 错误以及在 CI/CD 或 AI 智能体环境中提供 API key。
offensive-security
Offensive Security 是一个仅提供指令的自动研究技能，用于对防御性安全发现做可利用性验证。它指导智能体协调子智能体读取发现、生成漏洞假设，并仅在获授权的沙箱中验证，最终输出已确认漏洞报告。
sqlmap
sqlmap 是一款自动化 SQL 注入检测与利用工具，支持 MySQL、PostgreSQL、MSSQL、Oracle、SQLite 等主流数据库，以及布尔盲注、时间盲注、报错注入、UNION、堆叠查询等注入技术，可用于提取数据库内容、读写服务器文件及执行系统命令。
webhook-security
用于保护 Webhook 端点的技能，涵盖 HMAC 签名验证、重放攻击防护、幂等处理与可靠投递模式。当用户需要验证 Webhook 签名、防止重放、处理重试或实现安全 Webhook 时可使用。
xss-detection
用于检测、验证并修复 Web 应用中跨站脚本（XSS）漏洞的安全技能。覆盖反射型、存储型和 DOM 型 XSS，提供手工测试上下文分析与载荷思路、dalfox 与 XSStrike 自动化扫描用法、DOM 危险源与汇聚点排查、过滤绕过技巧，以及上下文输出编码、CSP 和输入验证等防护建议。
gog-safety
gog-safety 用于为 AI 智能体构建和部署带安全等级的 gogcli 二进制文件，通过编译期移除命令实现权限限制，被禁用的命令在二进制中不存在，无法在运行时绕过。