SuperAPI AI 工具集
合作ENAI 行业资讯收藏

Skill 广场

找到适合任务的 Agent Skill，阅读介绍并复制安装命令。

更新于 10-27 00:15

安全与审计

7,567 个结果

skill-vetter

Skill Vetter 是一套面向 AI 智能体的安全优先技能审查协议，用于在安装来自 ClawdHub、GitHub 或其他来源的技能前进行安全检查。它强调“先审查再安装”，覆盖来源核验、强制代码审查、权限范围评估和风险分级，并输出标准化的审查报告。其代码审查环节列出多项红旗信号，例如向未知 URL 执行 curl/wget、向外部服务器发送数据、索取凭据或 API 密钥、读取 ~/.ssh、~/.aws、~/.config 等目录、访问 MEMORY.md、USER.md、SOUL.md、IDENTITY.md、对内容做 base64 解码、对外部输入使用 eval() 或 exec()、修改工作区外的系统文件、未列明即安装软件包、访问 IP 而非域名、使用混淆代码、请求提权权限、访问浏览器 cookie 或会话、触碰凭据文件等，出现即建议立即拒绝。风险分为低、中、高、极端四级，并给出安装、需完整审查、需人工批准或不要安装的对应处置。适用场景包括安装 ClawdHub 技能、运行 GitHub 仓库技能、评估其他智能体分享的技能，以及任何被要求安装未知代码的场合。

安全与审计1 次安装

secure-my-app

secure-my-app 是一个面向单个代码库的安全审计技能，核心目标是回答三个问题：某项安全控制是否真的需要、是否已经存在、新加的东西是否有效。它由自然语言触发（如“上线前帮我加固应用”）或通过 /secure-my-app <target> 调用，参数可为空、路径、在线 URL 或控制组名称。它遵循一条铁律：无证明，不成发现；无复证，不成修复。技能将候选问题分为四级阶梯（存在、可达、控制、影响），无法确定的一律标记为 UNPROVEN。检查按 KEYS、DOOR、ROOMS、PIPES、VAULT、FLOOR、SUPPLY 七个组进行，并输出包含覆盖情况的门禁结论（不要上线／带着已知缺口上线／此处未确认任何问题）。修复需成对验证：攻击者请求失败，合法用户请求仍成功。它明确声明自己不是渗透测试，不做破坏性探测，不宣称合规。

安全与审计1 次安装

better-auth-best-practices

Better Auth 是一个 TypeScript 优先、框架无关的认证框架，支持邮箱密码、OAuth、魔法链接、Passkey 等多种登录方式，并可通过插件扩展。本技能用于在项目中集成 Better Auth 时提供配置参考，涵盖环境变量、CLI 命令、核心配置项、数据库适配、会话管理、用户与账户配置、邮件流程、安全设置、钩子、插件、客户端用法、类型安全以及常见注意事项。

安全与审计1 次安装

web-security

这是一个面向 Web 开发的安全实践技能，强调将 Web 安全视为核心要求而非事后补救。它默认假设输入具有敌意、运行环境不可信，要求在处理用户输入、管理认证与会话以及其他安全相关任务时遵循一系列防护原则。技能内容覆盖多个关键领域：一是核心原则，绝不信任用户输入，始终在边界处验证和清洗数据，优先采用安全默认值而非可配置项；二是 XSS 与注入防护，避免使用 dangerouslySetInnerHTML 和原始 HTML 注入，正确转义和编码动态内容，绝不将不可信数据插入 HTML、CSS 或 JS 上下文，并确保防御 SQL 注入；三是认证与授权，不在不安全位置存储密钥或令牌，尽量避免使用 localStorage 存放敏感凭据，在适用时使用 HTTP-only 安全 Cookie，并始终在服务端强制执行授权；四是浏览器安全 API，遵循 CORS、CSP 和浏览器安全边界，使用内容安全策略限制脚本与资源执行，在启用 CSP 时避免内联脚本和样式；五是数据处理，最小化数据暴露，不记录敏感信息；六是依赖与供应链，避免不必要的包，将第三方代码视为不可信输入。总体原则是简单性可减少攻击面，不确定时选择更严格的选项。

安全与审计1 次安装

oci vault and secrets management

该技能面向 Oracle Cloud Infrastructure (OCI) Vault 服务，提供密钥、机密与证书管理的完整 CLI 命令参考。内容涵盖 Vault 的创建与管理、主加密密钥（AES/RSA）的创建、轮换与版本控制、外部密钥导入（BYOK）、机密的存储与检索、机密轮换与版本管理，以及加密解密操作。同时包含 IAM 策略示例、最佳实践、常见工作流（如数据库凭据存储、API 密钥存储、密码轮换、机密迁移）和故障排查指南，并提供 Bash、Python、Node.js 的机密读取示例代码。适用于需要在 OCI 环境中安全存储凭据、管理加密密钥或实现机密轮换的开发与运维场景。

安全与审计1 次安装

signing-in-to-agent-relay-cloud

该技能用于在运行中的智能体会话内，通过 OAuth 设备授权流程让真人登录 Agent Relay Cloud，无需 API 密钥、邀请、控制台向导或预先存在的账户。流程包括：调用设备授权启动接口获取设备码与用户码，在用户浏览器中打开验证链接并由本人批准，随后按间隔轮询令牌接口；处理 authorization_pending、slow_down、429、5xx、access_denied 等状态；到期前用刷新令牌轮换更新；通过 whoami 读取账户与工作区；最后以环境变量把会话交给官方 CLI。要求使用 curl 或 fetch，避免默认 User-Agent 的 Python 客户端；不得代替用户批准、索取密码或操作批准页面；凭据须私密保存，不得写入仓库、聊天或 URL。

安全与审计1 次安装

tango

Tango 是一个面向 Elixir/Phoenix 应用的 OAuth 连接管理工具，按租户将 OAuth 连接存储在宿主的 Ecto 仓库中。0.3.0 版本新增了带类型的刷新错误、不含凭据的连接信息、公开的生成锁、基于 ID 的撤销以及测试夹具，0.2.0 与 0.3.0 均使用 schema V03。它主要用于安装、配置、升级、测试与调试 Tango OAuth 连接，覆盖提供方同步、重定向与弹窗授权流程、HTTP 路由挂载、LiveView 连接按钮、刷新错误分类、消费者测试夹具和升级排障等场景。

安全与审计1 次安装

find-bugs

Find Bugs 是一个用于审查本地分支代码变更的技能，帮助发现缺陷、安全漏洞和代码质量问题。它适用于被要求审查变更、查找 bug、进行安全审查或审计的场景。该技能通过五个阶段执行：完整收集输入（获取完整 diff 并列出所有修改文件）、映射攻击面（识别用户输入、数据库查询、认证授权检查、会话操作、外部调用和加密操作）、逐文件逐项检查安全清单（注入、XSS、认证、授权/IDOR、CSRF、竞态条件、会话、加密、信息泄露、DoS、业务逻辑）、验证潜在问题（确认是否已在别处处理、是否有测试覆盖、阅读上下文）、以及结论前审计（列出已审查文件、逐项清单结果、无法完全验证的区域）。输出按安全漏洞 > 缺陷 > 代码质量排序，跳过风格/格式问题，每个问题包含文件与行号、严重程度、问题描述、证据、修复建议和参考标准。若未发现显著问题会如实说明，且只报告不修改代码。

安全与审计1 次安装

senior-security

Senior Security 是面向应用安全、渗透测试、安全架构与合规审计的综合安全工程技能。它通过三个自动化脚本提供核心能力：威胁建模器（threat_modeler.py）用于自动生成脚手架与威胁模型模板；安全审计器（security_auditor.py）用于深度分析、性能指标评估、给出建议并自动修复；渗透测试自动化器（pentest_automator.py）用于专家级自动化测试、自定义配置与生产级输出。此外还附带安全架构模式、渗透测试指南和密码学实现三份参考文档，覆盖详细模式、代码示例、最佳实践、反模式、工作流程、优化策略、工具集成、配置示例与安全注意事项。技能提供了从安装依赖、配置环境到运行质量检查、实施最佳实践的完整开发工作流，并汇总了代码质量、性能、安全和可维护性方面的最佳实践，以及常用开发、分析、部署命令和故障排查指引。该技能涉及 TypeScript、JavaScript、Python、Go、Swift、Kotlin 等语言，以及 React、Next.js、Node.js、GraphQL、PostgreSQL、Docker、Kubernetes、AWS、GCP、Azure 等技术栈。

安全与审计1 次安装