typescript-security
面向服务端 TypeScript 的安全实践技能，聚焦输入校验、认证令牌与注入边界。适用于 API 请求校验、数据清洗、密钥与敏感配置管理，并给出 CORS、加密与反模式约束。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-25 00:14
安全与审计
7,431 个结果
m365-shared
Microsoft 365 CLI（m365）的共享使用模式，涵盖安装检查、身份验证、输出格式化与常用参数，适用于需要执行 m365 命令或排查登录、权限、资源 ID 查找等问题的场景。
chrome-cdp
chrome-cdp 是一个通过 Chrome DevTools 协议（CDP）检查和控制浏览器的命令行技能，可读取已渲染页面、已登录标签页，执行导航、交互、DOM/无障碍状态查看、网络信息获取与截图。
agency-ai-generated-code-security-auditor
这是一个面向 AI 生成代码与“vibe coding”应用的安全审查技能，专门排查编码助手默认引入的几类高危问题：硬编码密钥、失效的行级安全（RLS）以及提示注入汇聚点。它把“RLS 已启用”当作待验证的声明而非事实，能识别 USING (true) 全开放策略、缺失策略、公开存储桶、基于 user_metadata 的越权判断，以及 service_role 密钥进入客户端可达代码等 Supabase/Postgres 授权漏洞。对 LLM 调用，它追踪请求输入到模型指令的路径，在输入进入系统提示或工具调用时告警，并区分文档化的安全模式以避免误报。工作方式为本地静态扫描、按严重度排序输出、给出 CWE 与 OWASP LLM Top 10 映射、提供一行修复建议，并在修复后重扫确认已解决、仍存在与新增项。默认只读，不修改文件；密钥发现会要求到提供方轮换，且输出中不打印原始密钥值。
agency-blockchain-security-auditor
面向智能合约安全的专业审计角色，专注于漏洞检测、形式化验证、漏洞利用分析与完整审计报告撰写。该角色以攻击者视角系统性排查重入、访问控制缺陷、整数溢出、预言机操纵、闪电贷攻击、抢跑、DoS 等漏洞类型，并结合自动化工具与手工逐行审查。资料同时给出了 Slither、Mythril、Echidna 的调用脚本、审计报告模板、访问控制检查清单以及 Foundry 漏洞复现测试示例，适合作为链上项目安全审查的方法论与工作流参考。
agency-cloud-security-architect
这是一个面向云原生场景的云安全架构师技能角色，重点围绕零信任架构设计、IAM 与身份安全、基础设施即代码安全、云检测与响应以及合规治理展开。资料提供了 AWS 多账户安全架构（Terraform，含 SCP、集中日志、GuardDuty、VPC Flow Logs）、Kubernetes 零信任网络策略、基于 OIDC 的 GitHub Actions 安全部署流水线和云安全基线检查清单等示例交付物，并强调最小权限、短期凭证、全程加密与全面日志等原则。适用于多账户或多项目云环境的安全架构设计与评审、CI/CD 安全加固、检测规则与合规自动化等场景。具体收费、运行平台与完整安装步骤暂未提供。
agency-compliance-auditor
这是一个技术合规审计智能体，专注于 SOC 2、ISO 27001、HIPAA 和 PCI-DSS 等安全与隐私认证的运营与技术层面。它帮助组织进行审计准备度评估、控制差距分析、控制措施实施、证据收集与审计执行支持，强调实质合规而非形式主义，适用于需要推进认证或维护多框架合规项目的团队。
agency-identity-access-engineer
这是一个面向身份与访问管理（IAM）的专家型技能，专注于按标准正确构建登录、SSO、会话与授权体系。它覆盖 OAuth 2.0/OIDC 授权码 + PKCE 流程、企业级 SSO（SAML/OIDC）、SCIM 用户开通与注销、Passkeys/WebAuthn 无密码认证、会话与令牌架构、多租户隔离与 RBAC/ABAC 授权。该技能强调不自行发明加密原语、客户端永不作为权限权威、严格校验重定向 URI、短生命周期访问令牌与刷新令牌轮换、租户隔离下沉到数据层、JWT 仅携带标识符、谨慎设计账户恢复流程，并记录所有认证事件。适用于消费级登录、企业身份集成与多租户 SaaS 场景。
agency-incident-responder
该技能是一个面向数字取证与事件响应（DFIR）的专家角色，用于主导入侵调查、遏制活动威胁、协调危机响应并撰写事后复盘。其定位是“作战室里的冷静声音”：先保全证据再调查，按SEV1至SEV4分级处置事件，执行隔离而非擦除的遏制策略，排查持久化机制并关联IOC确定影响范围。资料还附带Windows与Linux取证采集脚本、严重性分级矩阵和分阶段工作流程。适合安全团队在勒索软件、APT潜伏、内部威胁、云泄露等场景中借助其规范证据链、时间线与复盘建议。
agency-penetration-tester
该项目是一个面向授权渗透测试的高级进攻性安全专家角色，覆盖网络、Web 应用、API、云基础设施和 Active Directory 的侦察、漏洞利用、权限提升、横向移动与域控攻陷。角色强调书面授权、严格范围控制、证据留存和完整攻击链报告，并提供侦察自动化、SQL 注入测试、AD 攻击链操作手册和网络隧道等参考材料。
agency-section-508-accessibility-specialist
该技能是一个面向美国联邦 Section 508 无障碍合规的专家型 AI 角色，定位为无障碍工程师。其核心目标是让 Web 应用与文档对残障用户真正可用，并符合适用标准：Section 508 的法律基线为 WCAG 2.0 AA，ADA Title II 对州和地方政府要求 WCAG 2.1 AA，WCAG 2.1/2.2 AA 为推荐的最佳实践目标。技能强调不能仅凭自动化扫描宣称合规，必须使用真实辅助技术（JAWS、NVDA、VoiceOver、TalkBack、Dragon）和纯键盘操作进行人工测试。它覆盖语义化 HTML 与 ARIA、键盘可操作性、颜色对比度、无障碍表单、PDF/Office 文档无障碍、审计与 VPAT/ACR 报告编写等。技能明确拒绝无障碍覆盖层（overlay）方案，主张从源码修复 HTML、CSS 和 ARIA。交付物包括无障碍审计报告、ARIA 组件实现规范、无障碍表单规范、VPAT/ACR 和修复计划。
agency-security-architect
该技能定义了一个“安全架构师”智能体，专注于系统安全模型设计，包括威胁建模、安全默认架构、信任边界分析、纵深防御与基于风险的安全评审。它像攻击者一样思考，覆盖认证授权、数据流、网络边界与云基础设施，并强调将安全融入开发全生命周期。资料还包含交付物模板（如威胁模型文档、安全代码评审示例、CI/CD 安全扫描流水线）、工作流程、严重性分级与沟通风格。适用于需要系统性安全设计评审、架构加固和风险优先级排序的场景。
agency-senior-secops-engineer
该技能定义一个防御性应用安全工程师角色，在每次调用时自动扫描代码提交中的硬编码密钥、不安全回退、JWT 算法缺陷、敏感信息日志、不安全令牌存储、宽松 CORS、SQL 注入等风险，并按照内部安全标准输出带严重级别和修复建议的发现；也支持以安全默认方式实现功能、按阶段进行安全检查清单验证。
agency-threat-detection-engineer
该技能是一个“威胁检测工程师”智能体，专注于在攻击者绕过预防性控制后构建检测层。它负责编写 SIEM 检测规则、将检测覆盖映射到 MITRE ATT&CK、开展威胁狩猎，并持续调优告警以减少误报。其核心工作方式是以 Sigma 作为厂商无关的规则编写格式，再编译到 Splunk SPL、Microsoft Sentinel KQL、Elastic EQL、Chronicle YARA-L 等目标 SIEM，并推行检测即代码（detection-as-code）流水线：规则纳入 Git、在 CI 中测试、自动部署到 SIEM。该智能体强调检测质量优先于数量，要求每条规则都包含描述、ATT&CK 映射、已知误报场景和验证测试用例，并主张优先使用行为检测而非易失效的静态 IOC 匹配。
agency-threat-intelligence-analyst
该技能定义了一位网络威胁情报分析师角色，专注于跟踪对手组织、将攻击活动映射到 MITRE ATT&CK 框架、产出可执行的情报报告，并构建检测规则。其工作涵盖威胁态势监控、ATT&CK 映射分析、检测规则开发（Sigma、YARA、Snort/Suricata）以及战术、运营、战略三个层级的情报报告。角色强调分析标准（置信度评估、多源交叉验证、区分观察与评估）、操作安全（保护情报来源与方法、遵守 TLP 标记）和伦理标准（情报服务于防御、负责任披露）。
mariadb-core-security-model
介绍 MariaDB 核心安全模型的技能文档，涵盖认证插件、权限存储与授权、角色、静态加密与 TLS 配置，并给出加固清单与常见反模式，帮助在创建用户、启用加密或迁移前正确配置。
tauri-agents-review
用于审查 Tauri 2 代码、审计权限或在部署前验证 Tauri 项目的技能包，按清单逐项检查命令与 IPC 桥接、权限与能力、状态管理、错误处理、安全、构建配置及反模式，并输出分级审查报告。
security-best-practices
该技能用于针对特定编程语言与框架执行安全最佳实践审查并提出改进建议。它首先识别当前项目所使用的前端和后端语言与框架，然后从技能的 references 目录加载对应的安全文档（文件名格式为 <language>-<framework>-<stack>-security.md，以及框架无关的 <language>-general-<stack>-security.md）作为审查依据。技能支持三种工作模式：一是编写默认安全的代码，适用于新项目或新代码；二是在日常工作中被动检测重大漏洞；三是按用户要求生成带严重性分级与编号的漏洞报告并协助修复。审查范围覆盖前后端，报告以 Markdown 文件形式输出（默认 security_best_practices_report.md），并包含执行摘要、严重性分区、行号引用和关键发现的一句话影响说明。修复时建议逐项处理，避免破坏现有功能。
security-ownership-map
Security Ownership Map 是一个用于分析 git 仓库的安全归属工具。它基于 git 历史构建“人—文件”二部图，计算巴士因子（bus factor）与敏感代码归属，并可导出 CSV/JSON 供 Neo4j、Gephi 等可视化。工具还能基于共享提交的 Jaccard 相似度构建文件共变图，把经常一起变更的文件聚类。使用需要 Python 3 和 networkx 库，通过 pip install networkx 安装。它仅做分析输出，不修改代码；具体收费、平台支持等信息暂未提供。
security-threat-model
该技能面向仓库级安全威胁建模，强调基于代码仓库证据而非通用清单，输出具有 AppSec 可操作性的威胁模型。它通过提取系统模型、划分信任边界、清点资产与入口点、校准攻击者能力，将威胁枚举为具体滥用路径，并对每个威胁做定性的可能性与影响评估，最终给出排序后的优先级和针对性缓解建议。整个流程要求所有架构判断都有仓库证据支撑，并将假设显式列出。工作流包含八个阶段：范围与系统模型提取、边界与资产与入口推导、资产与攻击者能力校准、滥用路径枚举、显式优先级推理、与用户确认服务上下文与假设、缓解措施与关注路径建议，以及最终的质量检查。最终结果以 Markdown 文件写出，命名基于仓库或目标目录名。它还会明确区分运行时代码与 CI/构建/开发工具及测试示例，避免把非运行时组件误纳入威胁范围。使用前需准备仓库根路径、范围内的子路径、预期用途、部署模式、互联网暴露情况和认证期望等输入。该技能适合需要对具体代码库做安全评审的团队，尤其是有明确部署与暴露面信息的项目。限制方面：它依赖仓库摘要与用户确认，若缺少上下文会以条件形式标注建议；具体支持的平台、是否收费、价格等信息暂未提供。
review-security-change
一个用于安全审查代码变更的 Claude 技能：检查密钥泄露、注入、认证/授权失效、不安全反序列化与依赖风险，按证据返回 APPROVE、REJECT 或 SKIP。
security-audit
Security Audit 是一个用于对代码、配置和架构进行结构化安全审计的技能。它在审查代码中的安全漏洞、加固应用，或从 OWASP/ASVS 指南派生安全需求时使用。该技能执行只读分析，不修改代码，仅进行审计后报告。使用方式为 /security-audit [scope]：无参数时审计当前分支相对于默认分支的差异；指定路径或模块名时审计该范围；使用 full 则审计整个仓库以发现系统性问题。审计过程包括收集上下文（识别默认分支、依赖面、配置面）、按清单逐项检查（输入验证与注入、认证与会话、授权与访问控制、数据保护与加密、配置与依赖、日志与错误处理）、框架专项检查（Node.js 的 Express、NestJS、Fastify）、流水线与部署检查，最后按严重性分级（Critical、High、Medium、Low、Info）并输出报告，报告包含执行摘要、发现项、正面实践。知识库基于五个参考领域：OWASP Top 10、OWASP ASVS、OWASP Cheat Sheet Series、Node.js Security、DevSecOps，采用渐进式披露，仅在发现项需要时加载对应参考文件。
agent-safety-preflight
Agent Safety Preflight 是一个在 Claude Code 等 AI 智能体编辑本地仓库前进行安全检查的技能，通过本地文件生成 Green、Yellow 或 Red 风险回执，重点关注破坏性命令、凭据写入自动化、智能体权限面、未提交改动及不可用的 git 状态。
assemblyai-install-auth
用于安全配置 AssemblyAI 密钥、区域端点及服务端与浏览器端认证的安装与鉴权技能，涵盖预录音频 REST 与流式 WebSocket 的凭据边界、令牌下发与审批限制。