security-engineer
用于应用安全、漏洞评估与安全编码实践的技能，覆盖认证授权、OWASP Top 10 防护、安全审计与输入校验等场景。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,370 个结果
codebase-cleanup-deps-audit
面向依赖安全审计的技能，用于扫描项目依赖中的已知漏洞、许可证合规与供应链风险，识别过期包并给出可执行的修复与升级建议，适用于安全报告和整改计划准备。
security
面向 OWASP Top 10 的快速安全评估技能，通过 grep、npm audit 等命令扫描硬编码密钥、SQL 注入、XSS、依赖漏洞与认证授权问题，并输出分级审计报告。
security-audit
对项目及 Claude Code 配置进行六阶段安全审计，覆盖密钥泄露、注入面、依赖漏洞、Hook 安全与配置检查，输出百分制评分与分级报告，并给出按优先级排列的修复计划。
security-check
security-check 是一个针对 Claude Code 配置的快速安全自检技能，依据已知威胁数据库检查恶意技能、存在漏洞的 MCP、危险模式与泄露的密钥，约 30 秒完成，仅覆盖 Claude Code 配置范围。
bt-security-audit
宝塔部署服务器的安全审计技能，围绕 SSH、异常进程、SUID/SGID 文件、Webshell、定时任务、关键文件权限六个维度做合规检查，输出带风险评级与修复优先级的审计报告，默认只读。
go-tooling-security
面向 Go 项目的工具链与安全配置技能，用于设置 Go 模块/工作区、配置 golangci-lint v2、运行 govulncheck 以及搭建 Go CI 质量门禁，不适用于应用逻辑或非 Go 项目。
start-auth
面向 TanStack Start 应用的认证技能，覆盖路由保护、服务端函数授权、会话与 CSRF，提供 DIY 服务端原语模板。强调 beforeLoad 只保护界面，真正的数据边界必须在 server function 内强制鉴权。不适用于通用路由守卫或非 Start 的 Node 鉴权。
security-scanner
Security Scanner 是一款综合安全扫描技能，用于检测硬编码密钥、SQL 注入、XSS、不安全依赖及 OWASP Top 10 漏洞，并输出分级报告与修复建议。
security-review
security-review 是 gsd-build/gsd-2 提供的安全审查技能，对代码变更、功能或子系统做以威胁模型为驱动的审查，运行 STRIDE 风格检查（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升），并交叉核对 OWASP 常见问题。
security-documentation
该技能用于维护 CIA 平台的全面安全文档，按 Hack23 ISMS 标准生成并更新 SECURITY.md、SECURITY_ARCHITECTURE.md、THREAT_MODEL.md、DATA_MODEL.md、INCIDENT_RESPONSE.md、VULNERABILITY_MANAGEMENT.md 和 ACCESS_CONTROL_MATRIX.md 等安全文档。涵盖安全架构、STRIDE 威胁分析、数据加密与分类、网络控制、事件响应分级、漏洞管理 SLA、访问控制矩阵以及文档审查与更新频率等内容，支持安全评审、合规审计和知识传递，适用于安全架构变更后、发现新威胁、合规审计期间、安全入职培训及重大发布前等场景。
echidna
Echidna 是一个面向以太坊智能合约的基于属性的模糊测试工具（property-based fuzzer）。它通过生成随机的合约调用序列来尝试证伪不变量（即名称以 echidna_ 之类前缀开头、无参数且返回 bool 的 Solidity 函数），或触发 Solidity assert 失败。该工具支持覆盖率引导的模糊测试、语料库收集、多种测试模式（property、assertion、overflow、exploration、optimization），并可与 Foundry、Hardhat、Truffle 集成。用户可通过 YAML 配置测试模式、gas、覆盖率、语料库、工作进程和函数过滤等选项，通过命令行调用并选择输出驱动（text、json、none）。其功能还包括函数过滤、符号执行（支持 cvc5、z3、bitwuzla 等 SMT 求解器）、FFI 与 HEVM 作弊码支持，以及用于 CI 和脚本的 JSON 输出。
flutter-security
面向 Flutter 移动应用的安全技能，依据 OWASP 移动实践覆盖令牌与 PII 安全存储、构建期密钥外置、网络信任与发布加固，适用于安全存储、密钥管理与发布混淆等场景。
iblai-api-agent-audit
通过 ibl.ai 平台 API 读取某个智能体的审计日志，提供可追溯的"谁改了什么"记录，支持按操作码、操作者邮箱和日期范围筛选。只读，不包含任何写入端点，适合排查智能体配置变更。
axum-impl-auth-jwt
面向 Axum 服务添加无状态 JWT 认证的技能，基于 tokio-rs/axum 官方 examples/jwt 思路，覆盖签发令牌、校验令牌与保护处理器六大部分，并给出 HS256 对称密钥、环境变量读取密钥、exp 必填等关键约束。
axum-impl-auth-session
面向 Axum 应用的会话式认证技能，讲解基于服务端会话的登录方案，覆盖 tower-sessions、axum-login、HTTP Basic 与 OAuth2 四种方式，并给出选型决策、会话轮换、路由守卫与常见反模式。
axum-impl-authorization
面向 Axum 的授权技能：在用户已通过认证后判断其是否有权访问路由，覆盖 /admin 分组保护与单端点权限门控，区分认证与授权，强调失败返回 403、守卫用 route_layer 等规则。
security-review
security-review 是一个面向代码变更的安全审查技能，主张用语义数据流推理而非关键字匹配来发现漏洞，并过滤低信号告警，只报告可达且有具体影响的发现。
analyze-dependencies
用于审计项目依赖风险的技能，从新鲜度、漏洞、打包体积、许可证合规和维护状态五个维度评估依赖，生成带风险评分与处置建议的报告，并保存到 .chalk/docs/engineering/ 目录。
performing-security-audits
该技能用于对代码、基础设施和配置进行综合安全审计，依托 security-pro-pack 插件中的工具，覆盖漏洞扫描、合规核查（HIPAA、PCI DSS、GDPR、SOC 2）、密码学审查与基础设施安全评估，并输出可执行的报告。
api-security
面向 API 安全设计、实现与验证的指南，遵循 OWASP API Security Top 10（2023）最佳实践，覆盖威胁建模、安全实现、验证测试与部署监控全生命周期。
writeup-generator
用于把已解决的 CTF 挑战整理成博客级 writeup 的技能，在解题后、调用 /writeup 命令或用户要求记录解法时使用。它要求按模板在当前挑战目录生成 README.md，并包含概述、TL;DR、背景知识、分步解法、工具、经验与参考等完整章节。
blockchain-purple-team
Blockchain Purple Team 是一种元安全（meta-security）分析方法，用于发现黑队（Black Team，基于历史攻击模式）和红队（Red Team，基于新型攻击技术）都遗漏的结构性缺口。它适用于分析专业审计为何漏掉关键漏洞、评估跨团队的安全覆盖情况、进行架构级与运营级安全审查、建模系统性风险，以及验证蓝队修复是否真正有效。该方法通过审计失败模式、防御绕过演化、系统性组合风险、运营安全缺口、经济系统性风险五大支柱展开分析，并以跨团队矩阵和假设清单识别覆盖空白。报告中会用风险可利用性门槛判断哪些属于真实漏洞、哪些只是暴露面。工具以技能包形式提供，包含多个参考文档（如可利用性门槛、报告阈值、披露模板、紫队流水线、项目执行模板、三方调查模板、披露追踪格式等），应在决定是否上报或公开披露前阅读相应文档。注意：结构性盲点适合内部参考，对外漏洞报告应尽量以可利用性为依据，不应将“暴露”直接等同于“可被利用”。
blockchain-red-team
blockchain-red-team 是一个面向区块链协议的红队渗透测试技能，专注于发现并利用已知历史事件之外的新型攻击技术。它用于在防御方（蓝队）完成修补后尝试绕过补丁、研究智能合约模式的零日漏洞、建模新型经济攻击、开发规避防御的技术，以及高级 MEV、三明治攻击和抢跑研究，也可用于审计前的攻击性压力测试。技能内部按四个阶段组织工作流程：技术发现、武器化、防御绕过研究和新型经济攻击探索；并将技术划分为四类：T1 防御绕过、T2 组合攻击、T3 时序攻击、T4 经济机制攻击。报告中记录技术类别、新颖性、来源、目标表面、前置条件、攻击序列、影响、PoC 与防御建议。该技能与黑队（聚焦历史攻击矩阵与已知事件复现）和紫队（系统性分析防御在架构与运营层面的失效原因）形成对照，并通过红队发现、蓝队修复、红队再测试的循环不断迭代。