SuperAPI AI 工具集
合作ENAI 行业资讯收藏

Skill 广场

找到适合任务的 Agent Skill，阅读介绍并复制安装命令。

更新于 10-24 00:15

安全与审计

7,388 个结果

repo-audit

repo-audit 是一个 GitHub 仓库审计工具，用于检查仓库的安全设置、Dependabot 配置、工作流卫生、长期未处理的 PR/分支以及 Action 版本固定情况，并可通过 --fix 参数自动修复可修复的偏差。它默认审计 skinnyandbald 组织下所有活跃仓库（非归档且 180 天内有推送），也可指定单个仓库或组织。审计项包括：漏洞警报是否启用（Critical，可修复）、自动安全修复是否启用（High，可修复）、.github/dependabot.yml 是否存在（High，可修复）、工作流中 semgrep ci 与 --config auto 是否同现（High，可修复）、超过 30 天的开放 PR（Low，仅报告）、超过 60 天的陈旧分支（Low，仅报告）、第三方 Action 是否未按 SHA 固定（High，仅报告）。工具通过 GitHub API 直接操作，无需克隆仓库；默认只读，仅在传入 --fix 时先展示报告并确认后再修改，且只改仓库设置与 .github/ 下的配置文件，不修改仓库代码。

安全与审计4 次安装

two-factor-authentication-best-practices

这是一个面向开发者的双因素认证（2FA）最佳实践指南类技能，基于 Better Auth 的 twoFactor 插件，用于在应用中实现安全的 2FA。内容涵盖服务端与客户端的插件配置、启用 2FA、TOTP（身份验证器应用）与 OTP（邮件/短信）两种方式、备份码生成与恢复、登录时的 2FA 跳转处理、受信任设备、以及会话管理、速率限制、账户锁定、静态加密、常量时间比较等安全考量。同时给出版本相关的注意事项，例如 Better Auth 1.7 的 CLI 迁移流程、发行版与官网行为差异等。所有代码示例均基于 Better Auth 的 API，包括 twoFactor 插件配置、authClient 调用以及完整的服务端配置示例。

安全与审计4 次安装

data-rights-request

Data Rights Request 是一个用于处理单条数据权利请求的技能，覆盖从接收、确认、身份与权限核验、范围界定、计划、履行、对账、交付到关闭的完整流程。它强调同一请求 ID 贯穿始终，即使出现重复请求、信息缺失、数据保留、交付失败、部分履行、范围争议或重新开启的情况，也保持同一请求 ID 和清晰的客户状态。该技能要求记录控制每个截止期限的权限依据，并指出仅有下载链接而没有对账不构成履行。它适用于需要处理访问、导出、更正、删除、限制或申诉等数据权利请求的场景，并区分了履行单条请求与使用 privacy-lifecycle 设计控制系统两种用途。

安全与审计4 次安装

govern-enterprise-access

Govern Enterprise Access 是一个面向企业级多租户场景的权限治理技能，用于管理跨客户租户的管理权限生命周期。它关注谁可以授予、继承、行使、审查、恢复和撤销管理权限，适用于处理身份提供商（IdP）断言时的权限判定。该技能强调：IdP 断言只是输入，租户与权限语义应保留在产品侧；加入（Join）不等于获得权限；应急访问（Break-glass）应是有日志记录、有时间限制并带移除条件的授权，而非长期管理员角色；IdP 组名也不等同于产品权限。当授权台账或审查证据需要更深入处理时，可展开访问权限生命周期与特权证据。

安全与审计4 次安装

authjs

Auth.js（原 NextAuth.js）是面向 Web 框架的认证库。它帮助开发者为 Next.js、SvelteKit、Express 等框架添加登录能力：支持 80+ OAuth 提供商（Google、GitHub、Apple、Discord 等）、邮箱/密码、魔法链接与 WebAuthn，并提供会话管理、JWT/数据库会话、基于角色的访问控制以及中间件保护。它内置 CSRF 保护，可通过 Drizzle、Prisma、MongoDB、Supabase、Turso 等数据库适配器存储用户与会话，支持 Vercel Edge、Cloudflare Workers 等边缘环境。

安全与审计4 次安装

rate-limiter

Rate Limiter 是一个面向 API 的速率限制设计技能，帮助 AI 代理为 API 设计、实现并配置生产级限流与滥用防护。它涵盖限流算法选择、中间件生成、基于 Redis 的分布式计数、滥用模式检测以及标准 HTTP 响应头设置。该技能会先评估 API 端点与现有中间件栈，再按固定窗口、滑动窗口日志、滑动窗口计数器、令牌桶或漏桶等算法进行取舍，并以分层限制（全局 IP、端点级、已认证用户配额）实现。同时提供凭证填充、爬虫抓取、请求头异常和分布式攻击等滥用检测思路，并要求在 Redis 不可用时优雅降级。资料中包含 Express 中间件与凭证填充检测的示例代码。

安全与审计4 次安装

semgrep

Semgrep 是一款快速、开源的静态分析工具，用于在代码中发现缺陷、安全漏洞和反模式。本技能提供 Semgrep 的使用指导，帮助开发者编写自定义规则、将 Semgrep 集成到 CI/CD 流水线，并使用社区规则库进行安全扫描。支持通过 pip、Docker 或 Homebrew 安装，可用 --config=auto 快速扫描，也可指定 p/security-audit、p/owasp-top-ten 等规则集，并支持自定义 YAML 规则、自动修复建议、SARIF 输出以及 GitHub Actions 集成。

安全与审计4 次安装

webauthn

WebAuthn（Web Authentication）是一种让用户使用生物识别（Face ID、Touch ID、Windows Hello）或硬件密钥（YubiKey）替代密码进行身份验证的 Web 标准。Passkeys 是通过 iCloud Keychain、Google Password Manager 或 1Password 等跨设备同步的 WebAuthn 凭证。本技能介绍如何使用 @simplewebauthn 库在 Node.js 服务端与浏览器客户端实现无密码注册与登录流程，涵盖依赖方（RP）配置、注册流程、认证流程、生产数据库表结构、Passkey 按钮 UI 模式，以及 Python（py_webauthn）和 Java（webauthn4j）等其他语言的实现方式，并附有安全清单与常见错误排查表。

安全与审计4 次安装

security-audit

security-audit 是一个面向 Rust 与 WebAssembly 应用的安全审计技能，用于识别漏洞、审查 unsafe 代码、验证输入处理并确保应用遵循安全最佳实践。它围绕纵深防御、最小权限、安全默认值和故障安全等核心原则，覆盖漏洞评估、unsafe 代码审查、输入验证与安全配置等职责，并提供认证授权、输入验证、密码学、数据保护、错误处理等检查清单。技能还针对 Rust 特有风险给出指导，包括 unsafe 块审计、FFI 边界校验、整数溢出处理，以及路径遍历、SQL 注入、拒绝服务等常见漏洞的脆弱与安全写法对比。它推荐使用 cargo audit、cargo geiger、cargo clippy 和 cargo fuzz 等工具，并规定按严重级别、CWE 分类、位置、影响、复现、修复与参考链接的结构化格式报告发现。

安全与审计4 次安装

permissions-policy

Permissions-Policy 是前端检查清单中的一条安全加固规则，用于审查 HTTP 响应头，限制浏览器 API 的可用范围。它建议通过设置 Permissions-Policy 响应头，禁用网站未使用的浏览器功能（如摄像头、麦克风、地理位置、支付等），从而在网站遭遇 XSS 注入后缩小攻击者可利用的能力范围。该规则提供了检查、修复和解释三个环节的指引，并说明第三方 iframe 默认继承页面限制，除非显式授权。

安全与审计4 次安装