tanstack-start-client-core-start-core-auth-server-primitives
TanStack Start 服务端认证原语技能：讲解会话 Cookie（HttpOnly、Secure、SameSite、__Host- 前缀）、会话读取/签发/销毁、OAuth state+PKCE、密码重置防枚举、CSRF 与限流，并强调在服务端函数与中间件内强制鉴权。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-26 00:15
安全与审计
7,473 个结果
security-audit-methodology
Security Audit Methodology 是一套系统化的安全审计与漏洞评估方法论，用于从代码、架构、依赖和运维实践四个维度评估系统的安全弱点。该方法论强调安全是一种“姿态”而非清单，核心原则包括：不信任任何输入、纵深防御、最小权限、理解攻击者视角、修复漏洞类别而非单个实例。它明确划分了安全工程师的职责边界——负责威胁建模（STRIDE、攻击树、信任边界）、漏洞评估（分类、严重性、复现）、安全架构审查（认证/授权、数据流、密钥管理）、依赖分析（供应链、已知漏洞、许可证风险）以及安全测试指导（模糊测试、SAST/DAST 集成）；而不负责一般代码审查、性能分析、运维可靠性、合规认证和事件响应执行。方法论配套四份参考文件，分别覆盖威胁建模、漏洞分类（CVSS 评分、CWE 映射、严重性分级、可利用性评估）、安全架构与依赖审计（OAuth 2.0、OIDC、SAML、mTLS、RBAC/ABAC/ReBAC、会话管理、密钥管理、SBOM、CVE 匹配、许可证分析、SLSA 框架）以及测试与工具（SAST/DAST 工具推荐、模糊测试策略、安全测试模式）。适用于安全审计、漏洞排查和安全架构评审场景。
dast-nuclei
基于 ProjectDiscovery Nuclei 的模板化 DAST 漏洞扫描技能，覆盖 CVE、OWASP Top 10、错误配置等场景，支持批量目标、认证扫描、结果解析与 CI/CD 集成。
github-actions
用于创建、配置、排查和优化 GitHub Actions 的技能，覆盖 JavaScript、Docker 与复合动作开发、action.yml 元数据、输入输出、安全权限、Marketplace 发布及本地测试等实践。
centrifugo
Centrifugo 是自托管、语言无关的实时消息服务器，支持 WebSocket、SSE、HTTP-streaming、WebTransport、GRPC 等持久连接，通过基于频道的 PUB/SUB 模型广播消息。后端经 Server API 发布，在线订阅者即时接收。
security-audit
OpenAlgo 的定期安全审计技能，覆盖后端、前端、数据库、缓存、路由与依赖，生成带日期的 xlsx 报告；可通过退出码接入 CI，脚本只读，不修改密钥或数据库。
verify
verify 是 marketcalls/openalgo 仓库中的一个验证型技能，用于在断言安全控制成立、模式安全或测试可信之前先做实际验证。核心原则是执行代码而非仅阅读代码，通过运行脚本和破坏性测试来确认结论，避免产生自信但错误的判断。
sota-confidential-computing
面向构建与审计机密计算及密码学PETs的SOTA技能：以硬件TEE与远程证明，或纯密码学方案，保护使用中的工作负载与数据免受基础设施方（云运维、hypervisor、共租户、物理访问者）威胁。
sota-detection-engineering
面向检测工程、SOC、威胁狩猎与事件响应的技能（2026），用于构建或审计检测控制与SOC能力。强调检测即代码、信噪比优化、ATT&CK覆盖映射、对抗模拟验证与误差可接受的事件响应流程。
sota-network-security
面向2026年网络安全的技能，用于设计/构建安全网络，以及审计分段与暴露面。覆盖零信任、默认拒绝、微隔离、mTLS、边缘与出口控制、DNS/TLS/PKI，并提供严重度分级与发现格式。
clerk
Clerk 认证 CLI，用于在项目中初始化并配置 Clerk 身份认证，以及从 Clerk 仪表盘拉取环境变量。当用户提到 clerk、clerk auth 或需要配置 Clerk 认证时使用。
mp-security
Mercado Pago 安全能力技能，覆盖独立 3D Secure、PCI 合规、Supertoken、Vault 与卡令牌化，适用于实现高级支付安全与安全存储卡片的场景。
dependency-management
面向 JavaScript/TypeScript、Python、Go、Rust 项目的依赖分析、优化与审计技能，可清理未用依赖、检测循环引用、排查版本冲突、分析包体积并做安全与许可证审查。
entra-app-registration
该技能用于指导 Microsoft Entra ID（原 Azure Active Directory）应用注册、OAuth 2.0 身份验证以及 MSAL 集成。内容涵盖应用注册、身份验证配置、API 权限配置、客户端凭据创建和 OAuth 流程实现等步骤，并说明应用类型、关键概念、Azure CLI 命令、MSAL 支持语言、安全最佳实践及适用场景。
vulnerability-scanner
Vulnerability Scanner 是一套面向安全审计的高级漏洞分析原则与技能，强调以攻击者视角审视系统、以专家方式防御。它覆盖 OWASP Top 10:2025、供应链安全、攻击面映射与风险优先级排序，并提供运行时脚本与参考清单。核心内容包括：安全专家思维（假设已被入侵、零信任、纵深防御、最小权限、失败即拒绝）、OWASP 2025 十大风险类别及其相较 2021 的变化、供应链攻击面与防御原则、攻击面映射要素与优先级矩阵、结合 CVSS 与 EPSS 的风险排序决策树、异常条件（A10）的 fail-open 与 fail-closed 对比、分阶段扫描方法论、高风险代码模式与密钥模式识别、云安全责任共担与检查项、常见反模式以及报告原则。该技能附带 scripts/security_scan.py 脚本用于自动化验证，以及 checklists.md 参考文件，涵盖 OWASP Top 10、认证、API 与数据保护清单。适用于代码审计、安全评估、依赖与 CI/CD 供应链审查、云配置检查等场景。
legal-legal-risk
用于分析企业法律风险与制定知识产权战略的技能：可进行判例与法规研究、IP组合分析，并覆盖2026年个人信息保护法、黄色信封法等最新法规变动。需以“评估法律风险”等提示词触发，属AI辅助分析，不能替代专业法律咨询。
cn-genai-filing
这是一个用于处理中国大陆生成式人工智能合规事务的技能，出自 mohitagw15856/pm-claude-skills 技能集。它针对大模型备案、生成式人工智能服务备案与登记、算法备案、AI 生成内容标识等常见问题，帮助判断产品需要承担哪些合规义务，并整理申报与上线所需材料。技能会区分自研模型与调用已备案模型、面向公众与仅面向企业等不同情形，输出义务对照表、材料清单、内容标识方案和上线检查表，并强调结论需与省级网信办及律师确认，不构成法律意见。
llm-guardrails-spec
为 LLM 功能在发布前制定安全与可靠性护栏规格的技能。它把威胁建模、分层控制、拒答与升级策略、日志监控和红队测试集整理成可评审的规格文档，而非仅罗列风险。
threat-model
用于在系统或功能开发前进行威胁建模的安全设计评审技能，通过梳理资产、信任边界与数据流，按 STRIDE 枚举威胁并按风险排序缓解措施。
vuln-triage
vuln-triage 是一个漏洞分诊技能，用于评估扫描器发现或 CVE 的真实严重性、可利用性与修复紧迫度。它结合暴露面、前置条件、公开/在野利用状态与补偿控制，给出情境化定级、修复方案、临时缓解措施和修复期限，仅适用于自有或获授权资产。
git-skills
Git 版本控制技能，提供仓库初始化、提交、分支、远程协作、合并变基、冲突解决、历史追溯、撤销、储藏、子模块、bisect 调试及仓库维护等操作指导，强调危险操作前的备份与确认。
hunting-living-off-the-land-binaries
该技能用于检测 Windows 事件日志与 Sysmon 遥测中 Living Off The Land Binaries（LOLBAS）的滥用行为，例如 certutil、wmic、mshta、regsvr32、rundll32 等系统自带工具被用于下载、脚本执行或进程创建等恶意活动。
audit-code-security
audit-code-security 是一个只读代码安全审计技能，用于对 diff、Pull Request、代码路径或明确限定的仓库范围做漏洞评估与威胁导向审查，输出按严重程度排序的确认发现，不修改代码。
jira-cli
jira-cli 技能用于在终端通过 ankitpokhrel/jira-cli（jira 命令）操作 Jira，涵盖安装配置、认证、查询、创建与编辑工单、状态流转、评论、工时、Epic 与 Sprint 等。强调先只读探查、脚本友好输出，并在改动 Jira 状态前确认。