security-review
用于审查 AWS 基础设施代码与配置的安全问题，适合审计 IAM 策略、检查 IaC 模板中的安全错误配置。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,370 个结果
enrich-with-aws-security-agent
该技能在排查应用故障、服务降级或错误时自动启用，借助 AWS Security Agent 的发现补充安全相关信息，帮助识别可能由安全漏洞（如 SSRF、注入攻击、依赖受损）引起的应用问题。
wiz-security-context
在调查云资源运维异常时自动加载的技能，通过已连接的 Wiz MCP 服务器获取资源安全审计工作流，收集安全上下文并分类情况。
convex-audit
用于对 Convex 后端进行只读审计的技能，覆盖 schema、安全、运行时边界、迁移与函数风险，先产出整改计划再实施。触发词为 review、contract、remediate；不适用于全新功能规格设计。
graphql-security
用于审计 GraphQL API 安全问题的技能，涵盖生产环境关闭自省、查询深度与复杂度限制、批量请求滥用、字段级授权、DataLoader 防 N+1、错误掩码及审计清单等。
swot-analysis
一个用于战略定位的 SWOT 分析技能，围绕优势、劣势、机会、威胁给出有证据支撑的分析，而非空泛条目。适用于新市场进入、战略转型、竞争应对、组织重组、董事会上会与融资叙事等场景，并可延伸为 TOWS 策略矩阵。
headless-ghidra-frida-evidence
headless-ghidra 的 Frida 动态证据导入阶段技能：仅导入外部捕获的 Frida 轨迹、日志与 hook 上下文，做证据规范化、溯源、重放与审计，不执行实时 Frida。
headless-ghidra-frida-runtime-injection
面向 headless Ghidra 规划的 Frida 运行时注入阶段技能，用可复现的 CLI/无界面方式采集运行时证据，选择可复用脚本并生成捕获清单，最终交接给证据导入阶段。
headless-ghidra-progressive-decompilation
Headless Ghidra 反向工程工作流中的阶段技能，用于第六阶段“选定反编译与增量比对”，在证据与目标选择可复核后，约束单步 outside-in 反编译、替换边界的增量比对，并审计生成的规划产物。
headless-ghidra-script-review
面向无头 Ghidra 的可复用脚本编写、审查、注册与基于契约审计的阶段技能，以 ./planning-brief.md 为规范契约，约束可复现、有证据支撑的脚本输入输出与审查清单。
security-review
面向桌面应用（尤其 Tauri + Rust/SQLx 技术栈）的安全审查技能，在用户要求安全审查、安全检查、漏洞扫描或提到安全时触发，覆盖密钥管理、命令参数验证、SQL 注入防护、输入与路径验证、敏感数据保护和依赖安全等检查项。
security-audit
security-audit 是 maestro-flow 中的安全审计技能，按 quick、standard、deep 三档执行 OWASP Top 10、依赖、密钥、CI/CD、STRIDE 及 Git 历史检查，输出带 file:line 与修复建议的严重级别矩阵，属只读分析。
ssl-tls
SSL/TLS 证书管理技能，涵盖 Let's Encrypt 与 Certbot 的证书申请、TLS 版本与加密套件配置、HSTS、OCSP stapling、续期自动化及本地开发证书方案。
oneleet
Oneleet CLI 技能：通过非官方的只读优先私有接口适配器，检查 Oneleet 的安全与合规态势，覆盖合规、HIPAA、安全状况、信任中心、供应商、人员、证据、监控、控制项、攻击面、代码安全与平台覆盖分析。
owasp_top10_mitigations
该技能提供 OWASP Top 10 常见 Web 漏洞的标准缓解措施清单，适用于 KYC 等处理敏感数据的系统，建议在每次生产发布前作为安全检查项，并纳入 CI/CD 流水线的 fitness functions。
pii_anonymizer_presidio
基于 Microsoft Presidio 的 PII 匿名化技能，用于在日志和存储前自动检测并遮蔽个人数据（姓名、证件号、出生日期、IBAN、邮箱等），以支持 GDPR 合规，完全离线运行。
security-review
Security Review Skill 是一个用于代码安全审查的技能，旨在确保代码遵循安全最佳实践并识别潜在漏洞。根据资料，该技能在添加认证、处理用户输入、使用密钥凭据、创建 API 端点、实现支付/敏感功能、处理文件上传、传输敏感数据或集成第三方 API 时激活。它提供涵盖以下方面的安全检查清单与验证步骤：密钥管理（禁止硬编码密钥，使用环境变量）、输入验证（使用 zod 等 schema 校验用户输入与文件上传）、SQL 注入防护（使用参数化查询）、认证与授权（使用 httpOnly cookie、权限校验、Supabase 行级安全）、XSS 防护（使用 DOMPurify 清洗 HTML、配置 CSP 头）、CSRF 防护（CSRF token、SameSite cookie）、速率限制、敏感数据暴露防护（日志脱敏、通用错误信息）、区块链安全（Solana 钱包签名与交易验证）、依赖安全（npm audit、锁定文件）等。此外还包含自动化安全测试示例、部署前安全检查清单，以及 OWASP Top 10 等资源链接。
security_headers
为 KYC 前端提供必需的 HTTP 安全响应头配置，用于缓解 XSS、点击劫持、MIME 嗅探等常见攻击，属于客户端第一道防线，符合 OWASP ASVS 二级要求。
trivy_image_scanning
Trivy 镜像扫描技能：在部署前扫描 Docker 镜像中的已知 CVE 漏洞，覆盖操作系统依赖与 Python 包，可在 CI 中运行并在发现严重漏洞时阻止部署。
waf_modsecurity
基于 ModSecurity 与 OWASP CRS 的 Web 应用防火墙技能，用于检测和拦截 SQL 注入、XSS 等 OWASP Top 10 攻击，通常部署在 API 前端，可先用仅检测模式观察再启用拦截。
convex-setup-auth
用于在 Convex 应用中配置身份验证的技能，涵盖用户管理、身份映射与访问控制，支持 Convex Auth、Clerk、WorkOS AuthKit、Auth0 及自定义 JWT 等提供方。
nestjs-authentication
用于在 NestJS TypeScript 后端设计、实现或重构认证与授权，涵盖 JWT 访问令牌、可选刷新令牌、本地邮箱密码登录、守卫、装饰器、策略、RBAC 与权限声明，并支持与外部身份提供方的高层集成模式。
security-audit
面向 Web 应用、API 与基础设施的综合安全审计工作流，覆盖侦察、漏洞扫描、渗透测试、安全加固与报告，按阶段编排多个安全技能并提供可复制的调用提示。
security-best-practices
该技能用于按语言与框架执行安全最佳实践审查并给出改进建议，仅在用户明确要求安全审查时触发。可识别项目所用语言与框架，加载对应参考文档，用于编写默认安全代码、被动发现重大问题或生成漏洞报告与修复建议。