skill-security-auditor
用于在安装 ClawHub 技能前做本地安全审计的命令行工具，通过 analyze-skill.sh 扫描 SKILL.md 中的恶意模式、凭据泄露与 C2 基础设施迹象，输出 0-100 风险评分与详细报告，仅供人工参考，不自动扫描或拦截安装。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-27 00:15
安全与审计
7,492 个结果
supabase-rls-gen
从 Prisma schema 生成 Supabase RLS 策略的命令行工具，用于简化数据库行级安全配置。需通过 npx 运行，并设置 OPENAI_API_KEY 环境变量。
macos-security-baseline
用于加固开发者 Mac 基础安全的技能：启用 FileVault 磁盘加密、应用防火墙，并通过 /etc/pam.d/sudo_local 配置 sudo 的 Touch ID 认证。不改动、不削弱任何现有 macOS 安全防护。
agentic-actions-auditor
agentic-actions-auditor 是一个用于审计 GitHub Actions 工作流中 AI 智能体集成安全漏洞的技能。它针对调用 AI 编码智能体的 CI/CD 工作流进行静态安全分析，帮助发现工作流文件中引用 Claude Code Action、Gemini CLI、OpenAI Codex 和 GitHub AI Inference 的步骤，并追踪跨文件引用（如复合操作和可复用工作流）中可能隐藏的 AI 智能体。该技能会捕获与安全相关的配置，例如沙箱设置、工具权限、用户允许列表以及触发事件，并检测攻击者可控输入到达 AI 提示字段的攻击路径。它支持从本地或远程 GitHub 仓库发现工作流文件，并通过一系列结构化的审计步骤生成可操作的发现报告。该技能仅提供静态分析指引，不会自动修改或修复工作流文件。
security-review
security-review 是一个执行三阶段安全审查的技能：在输入校验、认证授权、加密、注入、数据暴露五个领域识别漏洞，并过滤误报、按可利用性置信度评分，仅当置信度超过 80% 阈值时才报告，适合代码安全审查、认证流程审计与数据处理评估。
api-security-hardener
为生产 API 提供综合性安全加固方案，涵盖输入校验、认证授权、限流、安全响应头、SQL 注入与 XSS 防护、请求日志与错误处理，适用于 Express + TypeScript 等 Node 技术栈的接口安全建设。
auth-module-builder
auth-module-builder 是一个用于实现安全认证模式的技能，覆盖登录注册、会话管理、JWT 令牌、密码哈希、Cookie 设置与 CSRF 防护，并附带安全清单与威胁模型说明。
auth-security-reviewer
Auth Security Reviewer 是一个面向身份认证与授权实现的安全审查技能，用于检查会话管理、CSRF、Cookie 安全以及认证流程中的漏洞，并给出带严重级别的审查发现。它覆盖会话安全配置、JWT 安全、CSRF 防护、密码安全、多因素认证、授权漏洞、会话固定防护、认证端点限流与安全测试等主题，以正反示例代码说明不安全与安全做法。
cors-configuration
该技能用于为 API 和 Web 应用配置跨域资源共享（CORS），涵盖响应头设置、预检请求处理与安全实践，并提供 Express、Next.js、Fastify 的配置示例，以及动态来源校验、凭据与 Cookie 处理、安全头配合和 CORS 测试方法。
dependency-doctor
Dependency Doctor 是一个依赖健康审计与升级规划技能，用于扫描项目依赖清单，识别过时包、重复依赖、重量级或问题库、安全漏洞及有风险的版本组合，并生成按严重程度排序的升级路径。
dependency-vulnerability-triage
该技能用于将 npm audit 与 Snyk 等依赖漏洞扫描结果转化为可执行的补丁计划。它通过严重性矩阵对漏洞进行优先级排序，评估可利用性与影响，划分 24 小时、1 周、1 个月、下个版本等修复窗口，并识别破坏性变更、给出安全升级顺序、风险评估与回滚策略。技能还提供审计报告解析、补丁计划生成、自动化补丁脚本以及 CI 漏洞门禁等实现示例，帮助团队按影响而非仅按分数安排修复，降低升级风险。
docs-starter-kit
为开源与内部项目生成整套文档模板的技能，覆盖 README、CONTRIBUTING、SECURITY、CODE_OF_CONDUCT、LICENSE、CHANGELOG 等文件，并按项目类型选择合适模板、定制内容并检查完整性。
env-secrets-manager
环境变量与密钥管理技能，帮助在开发与生产环境中安全地识别、存储、读取、轮换密钥，并集成 AWS Secrets Manager、HashiCorp Vault、Doppler 等提供商，含本地加密与 Kubernetes 方案。
input-validation-sanitization-auditor
用于识别并修复 XSS、SQL 注入和命令注入等注入类漏洞的安全审计技能，借助校验模式、净化库与安全编码范式提升输入处理安全性。
nginx-config-optimizer
用于生成和优化 Nginx 配置的技能，覆盖性能、安全、缓存与负载均衡。可产出反向代理、负载均衡、静态服务、Docker 等场景的配置，并包含 SSL/TLS、安全响应头、限流、上游连接池、日志与健康检查等实践，最后用 nginx -t 校验并重载。
oauth2-oidc-implementer
用于实现 OAuth 2.0 与 OpenID Connect 认证流程的技能，涵盖授权码+PKCE、客户端凭证等流程，令牌安全存储与刷新、ID Token 校验、会话管理及多身份提供商集成。
page-layout-builder
Page Layout Builder 是一个用于生成常见页面布局与外壳的技能，覆盖仪表盘、认证、设置、CRUD 等模式，提供一致的导航、布局组件、路由结构与状态占位，基于 Next.js App Router 与 Tailwind CSS 风格代码。
rate-limiting-abuse-protection
为 API 实现限流与滥用防护，支持按路由策略、基于 IP/用户的配额、滑动窗口、安全错误响应与可观测性。
secrets-env-manager
Secrets & Env Manager 是一个面向 CI/CD 的密钥与环境变量管理技能，重点在于校验必需环境变量、防止密钥泄露、强制掩码以及提供快速失败（fail-fast）验证与清晰文档。它可帮助团队在部署前发现缺失的配置，避免因环境变量未设置导致运行失败，并通过自动化扫描降低密钥硬编码或意外提交的风险。
secure-headers-csp-builder
为 Web 应用实现安全响应头与内容安全策略（CSP）的技能，采用 report-only 到 enforce 的安全上线策略，包含违规上报、测试与兼容性检查，避免上线后破坏现有功能。
security-pr-checklist-skill
security-pr-checklist-skill 是一个用于代码拉取请求（PR）安全审查的技能，旨在为 PR 建立可重复的安全检查清单，覆盖必需检查项、常见安全陷阱以及自动化门禁。适合在代码评审流程中统一安全标准，帮助团队在合并代码前系统排查认证授权、输入校验、数据保护、依赖、密钥管理和错误处理等方面的风险。
threat-model-generator
Threat Model Generator 是一个基于 STRIDE 方法论的安全威胁建模工具，用于系统性地识别和缓解安全威胁。它支持资产识别与分级、威胁枚举、攻击向量记录、缓解策略定义、残余风险计算，并生成威胁模型文档。工具还提供自动化威胁检测的代码模式示例，以及最佳实践与输出清单，帮助团队将威胁建模集成到开发流程中。
websocket-realtime-builder
一个用于基于 WebSocket 与 Socket.io 实现实时功能的技能：含服务端搭建、认证、房间/命名空间、事件处理、在线状态与客户端重连。
network-config-validation
用于在部署前审查 Cisco IOS/IOS-XE 风格的路由器或交换机配置文本，检查危险命令、重复 IP 地址、子网重叠、悬空引用及管理面与安全卫生问题，可作为网络自动化推送前的预检门禁。