SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
5,009 个结果
DevSecOps 专家技能，专注于安全 CI/CD 流水线、左移安全、安全自动化与合规即代码。覆盖安全扫描（SAST、DAST、SCA）、基础设施安全（IaC 扫描、策略即代码）、容器与 Kubernetes 安全、密钥管理、供应链安全（SBOM、签名与溯源）以及合规自动化。强调以 TDD 方式先编写失败的安全测试再实现安全门禁，并提供增量扫描、并行分析、缓存扫描结果等性能优化模式。适用于在开发早期集成安全、构建自动化安全门禁、加固容器与集群、保护敏感数据与软件供应链等场景。
该技能用于对 SMTP（简单邮件传输协议）服务器开展安全评估，识别开放中继、用户枚举、认证弱点、TLS 配置及邮件认证（SPF/DKIM/DMARC）等问题。技能强调仅限授权使用：执行任何探测、利用、更改、持久化、数据提取或凭据访问命令前，必须先确认目标、书面授权与范围，并展示具体命令等待明确确认；未确认时保持只读并提供防御性指导。所需工具包括 Nmap、Netcat、Hydra、smtp-user-enum 和 Metasploit。
CrabTrap 是一个 LLM-as-a-judge 的 HTTP/HTTPS 正向代理，部署在 AI 智能体与外部 API 之间，拦截并评估所有出站请求。请求先经过确定性的静态规则（前缀/精确/glob URL 匹配），未命中时再由 LLM 裁判依据自然语言安全策略进行判定。被拦截的请求返回 403 及原因，所有决策记录到 PostgreSQL。它提供 SSRF 防护、速率限制、审计日志、管理 UI 与 API、策略构建器及回放评估系统，支持 Docker Compose 部署，可通过标准代理环境变量或各语言 SDK 接入智能体。
这是一个面向 Web 应用安全领域的参考型技能，围绕最常见的 100 个 Web 应用漏洞，按类别组织成结构化清单。它覆盖注入类漏洞（如 SQL 注入、XSS、命令注入、XML/LDAP/XPath 注入、SSTI）、认证与会话安全（会话固定、暴力破解、会话劫持、凭证填充、不安全的"记住我"、CAPTCHA 绕过）、敏感数据暴露（IDOR、数据泄漏、未加密存储、信息泄露）、安全配置错误（缺失安全响应头、默认口令、目录列举、未受保护的 API、开放端口、CORS 配置错误、未打补丁的软件）、XML 相关漏洞（XXE、XEE、XML 炸弹、XML DoS）、失效的访问控制（授权不足、权限提升、强制浏览、缺少功能级访问控制）、不安全的反序列化、API 安全、通信安全、客户端漏洞、拒绝服务以及服务端请求伪造等 15 个大类。每类中的条目通常给出定义、根本原因、影响和缓解措施，可用于系统化的漏洞识别、影响评估与修复指导。该技能适合安全测试、代码审计、安全评审等场景，需要使用者具备 Web 架构、常见 Web 技术、认证授权概念及 Burp Suite、OWASP ZAP 等测试工具的基础。具体平台的计费与价格信息暂未提供。
该技能提供系统化的威胁建模方法框架，帮助在系统设计与架构阶段识别、分析和缓解安全威胁。它涵盖 STRIDE 威胁分类法、攻击树、DREAD 风险评分和数据流图等成熟方法论，并给出五阶段核心流程（定义、识别、评估、缓解、验证）。适合在安全架构评审、新系统或功能设计、第三方集成评估、安全测试规划、合规支持（如 SOC 2、ISO 27001）等场景中使用，同时提供各类参考文档与工具指引。
OSINT Recon 是一个用于授权调查、威胁情报和攻击面评估的开源情报（OSINT）收集与关联技能。它系统性地从公开来源收集、分析和关联公开信息，涵盖域名与基础设施、组织、邮箱与用户名、文档与文件以及威胁情报等方向。该技能强调伦理检查，要求调查具有合法目的、仅收集公开信息、结果不得用于骚扰或人肉搜索。它提供 whois、dig、证书透明度查询等命令示例，并给出结构化的 OSINT 报告输出格式，包含收集摘要、关键发现、关联分析、情报缺口和建议。
面向医疗器械企业的资深FDA法规顾问技能，覆盖FDA申报路径（510(k)、PMA、De Novo）、21 CFR 820质量体系、HIPAA合规、网络安全与检查应对，并提供提交跟踪、合规检查等脚本与参考文档。
该技能用于执行静态应用程序安全测试（SAST），通过在源代码层面进行静态分析，在部署前识别安全漏洞。支持多种主流 SAST 工具，包括 Semgrep、CodeQL、SonarQube，以及针对特定语言的 Bandit（Python）、ESLint Security（JavaScript）和 Brakeman（Ruby）。适用于实施安全 SDLC 实践、在 CI/CD 中增加安全门禁、自动化代码安全审查、在部署前发现漏洞以及满足合规要求等场景。技能提供了各工具的安装命令、基础用法、自定义规则示例、CI 配置（如 GitHub Actions）、质量门禁脚本以及最佳实践建议，并可与其他技能（如 DAST 扫描、依赖扫描）结合使用。
code-review-security 是一个面向安全代码审查的技能，由 owasp/secure-agent-playbook 提供，入口为 https://www.skills.sh/owasp/secure-agent-playbook/code-review-security。其说明指出，它按 OWASP Top 10 与 ASVS 映射进行以安全为重点的代码审查，适用于审查拉取请求、审计文件或模块中的漏洞等场景。该技能引用 plays/code-review-security.md 中的完整流程，主要围绕确定审查范围与上下文、按漏洞类别系统审查、应用框架相关检查、针对 PR 的差异分析，以及生成包含文件与行号、漏洞片段、攻击场景、修复代码和置信度评级的问题发现。
Deno Sandboxes 提供安全隔离环境运行不可信代码、AI 生成代码等，每个沙箱运行在独立 Linux 微虚拟机中，拥有独立文件系统、网络和进程空间，基于 Firecracker。适用于代码演练场、AI 智能体工具执行和多租户应用。
HTML 注入测试技能，用于识别和利用允许攻击者向 Web 应用注入恶意 HTML 内容的 HTML 注入漏洞。该技能仅限授权使用，要求在执行任何探测、利用、更改、持久化、数据提取或凭据访问命令前，必须经过强制确认流程：用户需说明确切目标 URL、IP、账户或资源，确认书面授权与允许范围，查看确切命令及其预期效果，并在当前对话中明确确认。未获确认时保持只读，仅提供防御性指导。建议在沙箱、一次性虚拟机或受控实验环境中使用。
Kubernetes Hardening 是一个用于加固 Kubernetes 集群与工作负载的安全技能，属于 bagelhole/devops-security-agent-skills 技能集。它指导用户实施 Pod Security Standards、安全上下文（Security Context）、网络策略（Network Policy）以及 RBAC 最小权限配置，并涵盖集群组件加固与合规要求。技能提供了命名空间策略标签、Pod 安全上下文、默认拒绝网络策略、角色与角色绑定等 YAML 示例，并列出启用审计日志、加密 etcd、使用服务网格实现 mTLS、定期安全扫描等最佳实践。适用于需要加固 K8s 集群、配置网络隔离或满足安全合规的场景。
WAF Setup 是一个用于部署和调优 Web 应用防火墙（WAF）的技能，帮助保护 Web 应用免受常见攻击。它覆盖 AWS WAF、Cloudflare WAF 以及基于 Nginx 的 ModSecurity 三种方案，提供创建 Web ACL、配置托管规则、设置速率限制、地理封锁、拦截恶意 User-Agent 等操作示例，并给出 OWASP Core Rule Set 的安装与调优方法、误报排查流程和最佳实践。适用于需要满足 PCI-DSS、SOC2 等合规要求、防御 OWASP Top 10 攻击、保护 API 或为应用代码修复争取时间的场景。
用于检查特定依赖或包版本是否存在已知 CVE 与安全公告。先查询 OSV.dev 以获得速度与准确性，再交叉核对 NVD 的 CVSS 评分，使用 Exa 检索近期公告，并检查 GitHub Advisory 了解维护者回应，随后交叉比对结果并按 CVSS 评分与可利用性排定优先级：CRITICAL（9.0-10.0）立即修复，HIGH（7.0-8.9）合并前修复，MEDIUM（4.0-6.9）计划修复，LOW（0.1-3.9）记录在案，同时报告修复版本与临时缓解方案。范围之外：本技能是针对单一依赖的查询，而非整个项目依赖的全面扫描（后者请使用 dependency-audit）。
Cloudflare Turnstile 是一种替代 CAPTCHA 的机器人防护方案，用于保护表单、登录/注册、防垃圾提交等场景。该技能提供完整的集成指南，涵盖前端组件嵌入、服务端 Siteverify 校验、React/Next.js 与 Hono + Cloudflare Workers 等常见模式，并整理了 15 个已知问题的预防方法。核心规则包括：令牌 5 分钟过期且仅可使用一次、必须服务端校验、不得代理或缓存 api.js、必须传递客户端 IP。提供测试用虚拟密钥、CSP 配置参考、错误码排查与测试指南等资源。
根据 bagelhole/devops-security-agent-skills 中的 gdpr-compliance 整理：用于落实 GDPR 数据保护要求，涵盖合法处理依据、同意管理、数据主体权利（DSAR）、数据处理记录、DPA 与 DPIA 等，适用于处理欧盟/欧洲经济区个人数据的合规场景。
n8n 凭据与安全技能，用于在 n8n 工作流中处理任何认证、API 密钥、令牌、OAuth、Bearer Token、Basic Auth 或机密值。核心原则是机密必须通过凭据系统管理，绝不能写入文本字段或 SDK 代码。技能强调使用 newCredential() 或节点的 credentials 参数、先列出凭据再按 ID 绑定、由用户在界面创建凭据、优先使用原生凭据与节点，并针对多 Header 或 Header 加 Query 的认证形态给出 httpCustomAuth 方案。它还处理用户将密钥粘贴到聊天中的情况，建议视为已泄露并轮换，同时列出常见反模式及修复方式。该技能提供凭据系统、自定义凭据、带认证的 HTTP Request、查找 API 文档等参考文件。
该技能用于将 nansen-cli 钱包从旧的不安全密码存储方式（如 ~/.nansen/.env、.credentials 文件或环境变量）迁移到操作系统钥匙串（keychain）支持的安全流程。它提供状态检测方法（通过 nansen auth status、nansen doctor 判断密码来源）、四条迁移路径（密码存于 .env、.credentials、仅环境变量、密码彻底丢失）、迁移后的解密验证方式，以及清除已保存密码的操作。适用于用户曾用旧方式创建钱包、收到不安全 .credentials 警告或希望加固钱包密码存储的场景。
中文介绍正在整理，稍后补充。
该技能用于扫描第三方软件包依赖，识别其中已知的安全漏洞，并结合 Snyk、Dependabot、OWASP Dependency-Check 等工具进行修复。内容涵盖工具对比、CLI 命令、CI/CD 集成、策略与抑制文件、SBOM 生成，以及针对 Node.js、Python、Go、Ruby 的专用扫描方式。适合在管理第三方依赖、实施软件成分分析（SCA）、满足合规要求、保障软件供应链安全和自动化漏洞检测时使用。
该技能用于防御 AI 系统面临的提示注入（Prompt Injection）与间接提示攻击，覆盖聊天应用、智能体工作流和 RAG 管道。它通过输入控制、工具权限、输出校验和隔离边界构建纵深防御，提供输入清洗、检索上下文隔离、工具调用白名单校验、金丝雀令牌（Canary Token）泄露检测、输出脱敏、红队测试用例以及监控告警等能力。适用于构建或加固 LLM 应用、设计处理不可信文档的 RAG 管道、实现带工具调用的智能体工作流、响应已报告的注入漏洞，以及对 AI 集成产品做安全审查。
dependency-scan 是一个用于检测项目依赖中已知安全漏洞（CVE）与安全问题的技能。它会自动识别项目所用的包管理器，解析依赖清单文件（如 package.json、requirements.txt 等），并对照漏洞数据库检查已知 CVE，报告严重级别与修复方案，还可选地自动更新到已修复版本。支持 Node.js、Python、Ruby、Java、Go、Rust、PHP、.NET 等多种生态，提供全量扫描、指定生态扫描、按严重级别过滤、自动修复、详细漏洞报告与依赖健康检查等模式，并可集成到 CI/CD 与预提交钩子中。
该技能用于在获得授权的渗透测试中识别并利用不安全的直接对象引用（IDOR）漏洞。它通过操纵 API 请求中的对象标识符（如数字 ID、UUID、slug）来测试对象级授权是否被正确实施，覆盖水平越权、垂直越权以及请求体、请求头、GraphQL、批量操作等非显性位置。技能提供从端点梳理、Burp Authorize 扩展自动化测试、curl 手工验证到 ID 枚举与影响评估的完整工作流，并给出标准化的漏洞发现输出格式。适用于多租户应用、API 访问控制测试和漏洞赏金项目。
Security Best Practices 是一个面向编码智能体的技能，用于按语言与框架进行安全最佳实践的审查并给出改进建议。它会先识别当前项目中使用的所有语言与框架（通常包括前端和后端），再从其 references 目录加载对应文档（文件命名格式为 <language>-<framework>-<stack>-security.md，另有与框架无关的 <language>-general-<stack>-security.md），据此以三种模式工作：一是默认安全地编写新代码；二是在日常编码中被动检测重大漏洞并提示用户；三是应要求生成安全报告并建议修复。报告中包含简要执行摘要、按严重程度分节的发现、数值编号、关键发现的单句影响说明以及代码行号。该技能还提供适用于多数语言的通用建议，如公开资源 ID 避免使用自增 ID 而改用 UUID4 或随机十六进制字符串，并特别提醒不要把缺少 TLS 当作安全问题、谨慎使用 secure cookie 与 HSTS。