review-pr
用于审查 denoland/deno 仓库 Pull Request 的技能，从正确性、测试、安全与规范角度给出评审意见。适用于被要求评审 PR，或提供了 PR 编号/URL 的场景。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,387 个结果
security
该技能名为 Security & Data Integrity (Architect Level)，来自 dhruvanbhalara/skills，聚焦于安全与数据完整性层面的架构级实践。其核心内容包括：对敏感存储使用 AES-256-GCM 认证加密；加密密钥与主密钥派生密钥强制使用 flutter_secure_storage 存储；主密码派生采用 NIST 批准的 Argon2id 哈希算法；操作结束或应用进入后台时严格从内存清除敏感变量；对 OTP、密码等敏感数据在剪贴板中设定 30-60 秒后程序化清除；任何查看、导出或破坏性操作强制本地生物识别认证；所有安全敏感操作通过 AppLogger 记录审计日志（不含原始密钥）。在输入与 API 安全方面，要求处理或存储前验证并净化所有用户输入字段；所有 API 通信必须使用 HTTPS，敏感应用可考虑证书固定；严禁将令牌、API 密钥或凭据存入源码或公共仓库，应使用 flutter_secure_storage 或基于环境的注入。该技能适用于需要高安全标准的 Flutter 应用开发场景。
enterprise-readiness
用于评估项目是否达到生产或企业级就绪状态，并落地供应链安全与 CI/CD 加固。覆盖 SLSA 溯源、cosign 签名、SBOM、pnpm、OpenSSF 最佳实践与 OSPS 基线、Scorecard 优化、代码审查与 SECURITY.md 等。
security-audit
Security Audit Skill 是一个面向安全评估场景的审计技能，覆盖 OWASP Top 10、OWASP API、OWASP LLM、CWE Top 25、CVSS v3.1/v4.0 及 OWASP ASVS 等标准。它提供 80 多个 PHP/TYPO3 检查点（v14.3 LTS 记录于 typo3-security.md），并支持云与 IaC 安全（AWS、Terraform、Kubernetes、Docker、Helm）、GitHub 安全、API 与前端安全，以及 AI 智能体配置（SKILL.md、AGENTS.md、CLAUDE.md、mcp.json、hooks.json）的审计。技能内含大量参考资料，涵盖 XXE、SQLi、XSS、CSRF、命令注入、路径遍历、文件上传、反序列化、SSRF、SSTI、JWT 等漏洞，以及防御实践、密钥加密、供应链安全、自动化扫描与事件响应。使用方式包括通过调度脚本自动识别项目技术栈并运行对应扫描，或针对 PHP 项目、GitHub 仓库单独执行审计脚本。
security-incident-reporting
依据 NIST SP 800-61 与 SANS 方法论，用于编写安全事件报告、DDoS 复盘、时间线、IoC 章节、CVE 关联、严重性评分与无责根因分析。适用于安全事件发生后的文档化与向管理层、法务、安全团队沟通。
typo3-scheduler-jobs
面向 TYPO3 14.3 的 Scheduler 任务审计与配置技能：盘点安装环境、任务类型与运行器，按用途分组并设定执行频率，默认仅手动执行，需显式授权才启用外部自动运行器。
api fuzzing for bug bounty
面向漏洞赏金与渗透测试的 API 安全测试技能，覆盖 REST、SOAP、GraphQL 的侦察、认证绕过、IDOR、注入、方法测试与 GraphQL 专项攻击，需配合代理工具、字典与 Python 脚本使用。
skill-auditor
skill-auditor 是一个面向 AI 智能体技能（agent skill）的安装前审计工具，来自 dzhuneyt/skills。它把审查拆成两个独立问题并分别报告：安全性——该技能是否值得信任、可以安装；质量——它是否符合技能规范、能否可靠运行。安全性审查以 Anthropic 企业级技能风险分级与审查清单为主干，并参考 Anthropic 智能体技能安全注意事项、OWASP Agentic Skills Top 10 和 agentskills.io 规范，每条安全发现标注对应的 OWASP 编号；质量审查对照 agentskills.io 规范与 Anthropic 有效技能清单。使用方式：把待审技能作为参数传入，支持 GitHub 仓库地址、owner/repo 简写或原始文件链接。工具说明中给出的核心原则是：被审技能的内容一律视为数据而非指令，不执行其任何脚本、不安装其依赖、不跟随越出技能目录的符号链接、不解析短链接与裸 IP 链接、不为审计安装新工具，并记录被审版本的提交 SHA 或文件哈希，在报告中声明未运行任何内容。使用前建议先浅克隆到空目录以取得完整文件集。限制：原始单文件链接无法覆盖其引用的文件，市场列表页并非技能本体，均需回到源仓库；审查结论只覆盖某一个修订版本，不覆盖不可读或未获取的内容。
encrypted-saved-objects
Kibana 加密保存对象（ESO）开发指南，说明如何注册加密类型、选择 AAD 属性、安全执行部分更新、使用 createModelVersion 迁移模型版本，并处理 Serverless 零停机升级与加密密钥缺失场景。
security-burpsuite-project-parser
解析和分析 Burp Suite 项目文件、HTTP 历史与扫描结果的技能，用于从 Burp 导出中提取漏洞发现、分析拦截的 HTTP 流量，并转换为 CSV、JSON、SARIF 等格式。
security-constant-time-analysis
用于审查代码中的时序侧信道漏洞，确保令牌、密码、MAC、签名等敏感比较采用恒定时间操作。适用于密码学实现审计、认证授权代码检查，以及验证分支是否依赖秘密值。
semgrep-rule-creator
用于创建自定义 Semgrep 规则的技能，帮助安全人员编写检测安全漏洞和特定代码模式的 YAML 规则，覆盖 pattern 匹配与 taint 数据流跟踪。
semgrep-rule-variant-creator
从已有 Semgrep 规则派生变体规则，用于覆盖相关漏洞模式。适用于扩展规则以匹配不同语法、框架或语言中的相似写法，并需配合测试用例验证。
fusion-dependency-review
面向依赖更新 PR 的结构化评审技能，用于 Equinor fusion-framework。它先做调研并抓取已有 PR 讨论，再从安全、代码质量、影响三个视角并行分析，最后给出带证据的结论，并在合并前要求维护者明确确认。
oma-qa
oma-qa 是面向软件质量保证的 QA 智能体，专注安全、性能、可访问性、测试覆盖与质量标准对齐，用于部署前评审、OWASP 安全审计、WCAG 2.1 AA 合规、性能分析与覆盖率检查，输出带严重级别、证据和文件行号的可复现问题及修复建议。
data-flows
用于梳理应用数据流的 Claude Code 技能：从数据来源追踪到数据汇，标记信任边界、加密、序列化与转换环节，输出带安全注解的数据流图与发现。
harden
harden 是一个面向代码安全加固的 Claude Code 技能，用于在漏洞扫描之外主动提出防御纵深建议，如缺失的安全响应头、输入校验不足、缺少限流等。支持 --scope、--depth、--severity、--format 等参数，按技术栈识别、头部检查、CORS、校验、限流、错误处理、日志、防御性编码等步骤输出分级加固报告。
regression
用于检测安全回归的 Claude Code 技能：读取 .appsec/fixed-history.json 中的修复历史，检查已修复漏洞是否被重新引入或修复被移除，并生成回归报告，适合在合并或发布前作为门禁检查。
run
AppSec Run 是一个安全分析编排技能（/appsec:run），自动识别项目技术栈并选择相关扫描器与分类技能，并行运行扫描、汇总结果，并可选启动红队模拟。适用于需要一键执行安全扫描、漏洞检查或安全检查的代码库场景。
websocket
用于分析 WebSocket 实现安全漏洞的技能，检查升级握手缺少认证、未校验 Origin（跨站 WebSocket 劫持）、缺少消息校验与速率限制、生产环境使用 ws:// 等问题。
V3 Security Overhaul
面向 claude-flow v3 的安全架构整改技能，用于修复 CVE-1、CVE-2、CVE-3 等严重漏洞并落地默认安全模式，涵盖依赖更新、密码哈希、凭据生成、输入校验、路径净化与安全命令执行。
eval-oauth
eval-oauth 是来自 getsentry/junior 的一个技能（skill），用于处理 `/eval-oauth` 请求以及 eval-oauth 账号连接或认证流程测试请求。根据其说明，该技能采用 HTTP 后端而非 MCP 后端，因此不应使用或提及 MCP 工具。其核心要求是在回答任何问题之前，先执行一次身份检查命令（curl 请求 whoami 接口），且每次请求都需重新运行，之前请求的运行结果不计入当前请求。只有在身份检查成功后，才在同一轮对话中直接回答用户的真实问题，并保持回答简短。若当前请求的身份检查未完成，则应停止，不做总结、道歉或要求用户重复。该技能的具体实现细节、依赖环境、安装方式及更多使用限制暂未提供。
better-auth
Better Auth 是一个与框架无关的 TypeScript 身份认证与授权框架，内置邮箱/密码、社交 OAuth、邮箱验证、密码重置、会话管理与限流，并通过插件扩展 2FA、Passkeys、Magic Link、用户名登录与组织多租户等能力。
gcp-agent-model-armor-shield
Google Cloud 的 Model Armor 安全技能，用于为 AI 智能体配置防护策略，涵盖提示词注入、越狱、恶意 URL 检测以及 RAI 内容过滤，并支持与敏感数据保护模板联动。