security-digest
security-digest 是 sirkirby/unifi-mcp 技能，用于汇总 UniFi Protect 摄像头、Access 门禁与 Network 防火墙的安全事件，生成带覆盖范围与限制说明的安全摘要。必需 protect，network 与 access 为可选。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,384 个结果
security-documentation
security-documentation 是 spjoshis/claude-code-plugins 中的一项技能，用于编写信息安全政策、流程、事件响应计划、合规文档与风险文档，支持审计准备和利益相关方沟通。
threat-modeling
用于系统化识别与评估安全威胁的技能，基于 STRIDE 方法论，结合攻击树、风险评估与威胁缓解建议，帮助在系统与应用设计中建立更安全的架构。
api-credentials-hygiene
用于审计并加固 API 凭证处理的技能，涵盖环境变量、开发与生产分离、轮换计划、最小权限和可审计性，适用于集成服务或准备上线前检查凭证配置。
security-audit
面向 Clawdbot 部署的综合安全审计技能，可扫描暴露的凭据、开放端口、薄弱配置与漏洞，并支持自动修复模式。无需外部依赖，使用系统原生工具。
auth-http-api-cloudbase
面向非 Node 后端与脚本的 CloudBase Auth v2 原始 HTTP 接口调用技能：覆盖登录/注册、短信或邮箱验证、匿名登录、令牌刷新与校验、注销及基础用户操作，并提供规范端点与请求头用法。
hsts
本技能用于审查通过 HTTPS 提供内容的站点是否正确设置 HSTS 响应头，防止 SSL 剥离降级攻击。可检查、修复并解释 Strict-Transport-Security 头及 max-age、includeSubDomains、preload 指令的使用。
indexability
用于审计网站是否被意外的 noindex 指令、X-Robots-Tag 响应头或 robots.txt 规则屏蔽，适用于排查重要页面未出现在 Google 搜索结果、或检查 CMS 默认设置导致索引被阻断的技术 SEO 场景。
privacy-policy
前端检查清单中的隐私政策规则：检查网站是否在每页页脚提供可见、可访问的隐私政策链接，并核实该页面确实包含隐私政策内容。适用于合规与可访问性审查。
device-integrity
用于 iOS 的 DeviceCheck 与 App Attest 安全技能：通过 DCDevice 的每设备位提供持久状态，借助安全隔区密钥进行 App Attest 密钥生成、认证与请求断言，帮助服务端验证请求来自真实 Apple 设备上的合法应用实例。
swift-security
面向 Apple 平台的客户端安全技能，覆盖 Keychain 密钥与凭据存储、LocalAuthentication 生物识别门控、CryptoKit 加密、Secure Enclave、证书信任与固定、Keychain 共享、旧存储迁移、安全测试及 OWASP 移动合规映射，默认以 iOS 17+ 与 Swift 并发示例为主。
create-threat-model
该技能用于分析当前代码库，并在 .turbo/threat-model.md 生成结构化威胁模型，涵盖资产、信任边界、攻击面、现有缓解措施和风险严重程度；属描述性文档，不给出修复建议。
security-hardening
面向 Shopify 应用开发的安全加固技能，覆盖 OWASP Top 10、认证授权、数据保护、Webhook 校验与 Remix 安全编码模式，帮助开发者处理商户数据、客户 PII 与支付信息时满足合规要求。
hr-security
面向 HR、招聘与人才获取团队的网络安全知识技能，帮助非技术招聘者理解安全领域、筛选安全候选人、解读认证与作品、设计面试题，并比较 AppSec、云安全、SOC、红蓝队与 GRC 等岗位。
recon-solar-installers
面向太阳能安装与可再生能源公司网站的行业侦察技能，用于在授权范围内发现融资计算器、推荐门户、WordPress、API 密钥等攻击面。
organization-management
用于在 Clerk 多租户应用中实现组织功能的技能，覆盖 RBAC、组织切换、成员管理与租户数据隔离，并提供配置脚本、模板与示例。
authentication-and-authorization-fullstack
面向全栈开发的认证与授权技能，覆盖登录、注册、SSO、会话刷新，以及前后端角色与权限访问控制，强调服务端授权为唯一可信来源、令牌生命周期管理与审计日志。
secure-key-manager
面向 AI 智能体的企业级密钥管理技能，使用 AES-256-GCM 加密存储 API Key，配合 PBKDF2HMAC（480,000 轮）密钥派生，支持运行时解密、输出脱敏与密钥轮换。
security-drill
security-drill 是面向 AI 智能体的自动化安全演练与攻击模拟测试技能，可运行提示注入、社会工程、命令绕过等预设攻击场景，评估智能体响应并生成通过/失败报告，用于验证防御控制与事件响应流程。
skill-security-audit
用于 OpenClaw/Hermes 技能的安全审计与合规检查工具，扫描 SKILL.md、脚本和配置中的漏洞，输出按严重程度分级、带文件行号与修复建议的报告。
security
Security 技能用于代码安全审查，帮助发现漏洞、评估风险并给出修复建议；覆盖注入、认证授权、数据安全、配置与依赖等检查项，并按严重程度分级；仅用于防御性安全。
find-crypto-entry
find-crypto-entry 是一个用于定位 JavaScript 中加密参数生成入口的技能。当用户询问某个参数在哪里生成、如何寻找加密入口、如何定位签名函数或请求参数如何加密时，可以使用该技能。它通过一系列步骤帮助分析人员找到参数生成的具体位置，输出脚本 URL、行号列号、函数名以及调用路径。该技能强调只定位入口，不进行算法还原，保持职责单一。
js-reverse-automation
js-reverse-automation 是一个面向授权安全测试场景的 JS 逆向自动化 Skill，通过 chrome-devtools-mcp 连接真实浏览器，跟踪 sign/enc/token 等参数的生成链路，识别运行时入口函数与依赖，并据此生成 JSRPC 注入代码、Flask 代理代码以及带校验输出的 Burp autoDecoder 对接文档。该 Skill 只生成对应代码，不会对未授权目标进行测试。
security-compliance-compliance-check
这是一个面向软件系统的合规检查技能，定位为合规专家，覆盖 GDPR、HIPAA、SOC2、PCI-DSS 等法规与行业标准。它用于评估合规就绪度、构建控制清单与审计证据、设计合规监控与报告流程。技能输出包括合规评估、差距分析、实施计划、技术控制、政策模板、审计程序、文档与培训材料等。该技能强调务实的落地实施，在合规要求与业务运营、用户体验之间取得平衡。它明确不适用于需要法律意见或正式认证的场景，也不适用于缺少范围审批或所需证据访问权限的情况，以及只需一次性安全扫描的场景。安全方面要求避免在没有正式审计的情况下声称合规，并保护敏感数据、限制审计产物的访问。具体支持的法规范围、示例细节与实现模式可参考随技能提供的 resources/implementation-playbook.md。