swift
Swift 专家技能（5.0+），用于编写、调试、重构和审查 Swift 代码，覆盖 SwiftUI、结构化并发、内存安全与 Swift 6 现代开发模式，适用于 iOS、macOS 及服务端 Swift 项目。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-27 00:15
安全与审计
7,571 个结果
bitlysis-security-audit
面向 Bitlysis 项目的安全审计与最佳实践技能，覆盖认证授权、输入校验、密钥管理、安全响应头、智能合约安全、依赖漏洞扫描与 OWASP Top 10 自查，并输出分级安全评审报告。
zamokctl
zamokctl 是 Zamok 的 Swift 命令行离线签名工具，用于生成和管理离线根签名密钥，并从终端签名与发布 Zamok 产品 keyset。它与 ZamokApp GUI 共用同一 ZamokSigning 核心、同一 macOS 钥匙串根密钥及相同的草稿→确认→逐字签名→发布流程。
security-axios
扫描本机所有项目，检测 axios 供应链攻击（2026-03-31）中被污染的 axios@1.14.1、axios@0.30.4 及恶意依赖 plain-crypto-js@4.2.1，检查相关恶意包与系统 IOC，并生成 HTML 威胁报告。
security-sweep
security-sweep 是一个用于修复关键安全漏洞的自动化工具，覆盖 npm 与 Composer 依赖、PHP 与 Node.js 运行时以及 Docker 基础镜像标签。它以最小改动为原则，一次只处理一个漏洞，并通过范围检查、重扫描和测试对比来验证修复没有破坏其他功能。它只处理严重级别为 critical、列入 CISA KEV 目录或用户明确指定的 CVE；高危问题只列出而不修复。工具支持问答与修复两种模式，不修改应用代码、测试或 CI 配置，不允许使用强制命令或跳过测试。修复前需先扫描、生成计划并获得用户确认，若无法安全修复则停止并报告。
cra-meldepflichten
面向欧盟《网络弹性法案》（CRA，VO (EU) 2024/2847）第14条报告义务的实务技能，帮助判定是否触发申报、计算24小时/72小时/最终报告期限、整理各阶段申报内容并搭建内部升级流程。
cra-produktanforderungen
用于依据欧盟《网络弹性法案》VO (EU) 2024/2847 附录 I 确定数字元素产品基本网络安全要求的技能，含差距分析、合规评估路径与时间规划，面向德语法律与合规场景。
cra-schwachstellenmanagement
用于依据欧盟《网络弹性法案》（VO (EU) 2024/2847）附录一第二部分，搭建与检查产品漏洞管理流程的技能，涵盖协调漏洞披露政策（CVD-Policy）、漏洞接收、分诊、修复、安全更新分发与公开披露，并与Art. 14报告义务衔接。
dsa-notice-action
用于审查与设计欧盟《数字服务法》（DSA）第16条通知与行动机制的技能，覆盖第17条说明理由义务及第6条责任豁免，可判断举报是否有效、是否触发实际知悉、平台应如何及时反应。
freedom-to-operate
该技能用于在进入市场前进行自由实施（Freedom-to-Operate，FTO）分析，面向德国及欧洲专利法框架。它提供方法论，用于检索相关专利与实用新型（DEPATISnet、Espacenet、Patentscope 等数据库），确定保护范围（§ 14 PatG / Art. 69 EPÜ），评估命中的专利的法律状态与生命周期，并给出应对方案，如规避设计（Designaround）、取得许可、提出无效申请（§ 81 PatG / Art. 138 EPÜ）、在 9 个月异议期内提出异议（§ 59 PatG / Art. 99 EPÜ）、放弃或推迟市场进入以及风险接受。该技能采用子代理架构：Researcher 提供法定条款与判例、评论文献；Drafter 撰写 FTO 报告，含命中列表、逐项保护范围分析与行动建议；Reviewer 审查检索完整性、保护范围方法及报告明确界限。报告结构包括检索方法、命中列表、保护范围分析、行动选项、总体风险分级、建议、报告界限与来源目录。报告必须注明检索截止日期，并提示 18 个月保密期（§ 32 V PatG / Art. 93 EPÜ）导致的检索盲区，以及不保证完整性、市场进入前需重新检查。
mbo-aerzte-pruefung
该技能用于依据德国《医师职业条例范本》（MBO-Ä）及各联邦州具有法律约束力的《州医师职业条例》（LBO），审查具体医师行为是否合规。它覆盖职业法层面的义务审查，与民法上的医师责任形成互补，并评估在职业法院可能面临的制裁（警告→训诫→罚款→吊销执业许可）。同时审查与《刑法典》第203条、药品广告法（HWG）、《社会法典》第五编（SGB V）及联邦医师条例（BÄO）的衔接问题。输入包括具体医师行为、联邦州与专业方向、执业状态、可能的程序及委托人立场。采用研究者、起草者、复核者三个子代理架构，按鉴定书风格审查职业义务、义务违反、过错与制裁空间，并确保引用具体州条例而非仅引用范本。
patentverletzung-pruefung
该技能用于德国专利法下的专利侵权审查，依据《专利法》第9、14、139、140b、140c条，通过特征分析、权利要求解释和抗辩评估，判断被控实施方式是否构成字面侵权或等同侵权，并输出侵权审查报告。
security-audit
面向代码仓库的多智能体安全审计技能，通过覆盖台账、独立验证发现和可机器校验记录，产出 confirmed、needs validation、rejected 三种状态的结论。
security specialist
专注于应用安全、认证授权与合规性的技能，支持配合 Security Auditor 智能体角色与 Git、Filesystem 等 MCP 工具使用，覆盖安全需求提取、认证实现模式与 GDPR 数据处理。
codebase-risk-audit
用于对代码仓库进行聚焦式风险审计的技能，基于证据识别可维护性、运维、测试、安全相邻等风险，并按优先级给出修复建议。输出为决策辅助报告，非一般性代码批评。
ubs
UBS 是一款命令行代码审查与质量扫描工具，用于在提交前发现编译能通过但运行时可能崩溃的问题，如空指针解引用、缺失 await、资源泄漏和安全漏洞。它误报较多，需配合人工分诊使用。
unicode-hygiene
用于扫描技能、插件、命令、智能体与市场文件中不可见或被视觉伪装 Unicode 的安全工具，可发现标签字符、双向控制符等隐藏内容，防止校验与人工审查遗漏的供应链攻击。
start-second-brain
用于在用户基于 GitHub 模板创建仓库后初始化 Second Brain 知识库的技能。它会校验仓库隐私、创建文件夹与模板文件、提交并推送，并引导配置 obsidian-git、上下文录入与同步机制。需在库根目录运行初始化脚本。
agent-supply-chain-audit
该技能用于审计AI编码代理加载和信任的扩展，包括技能（skills）、插件、市场、钩子（hooks）、设置、MCP服务器和指令文件（如CLAUDE.md）。它生成清单，检查隐藏或恶意行为，验证自动运行项及其固定方式，并返回逐项裁决。它不执行、安装、编辑或删除被审计项。
business-logic-testing
这是一个针对已授权 Web 应用进行业务逻辑漏洞和竞态条件测试的技能。它专注于扫描器无法发现的漏洞类型：逻辑缺陷，即应用承诺的保证与其代码在对抗性或并发使用下实际执行之间的不匹配。该技能采用不变量优先的方法，先明确系统应保证的属性，再尝试破坏它。主要涵盖四类不变量：价值守恒、唯一性、单调性和排他性。测试过程包括：授权检查、建模不变量、构建参与者×动作×资源矩阵、状态机滥用、数值与价值问题、陈旧授权与传奇缺口、并发方法。它强调在测试前必须获得书面授权，优先使用测试环境，并设定请求数上限。验证要求证明持久状态确实改变，而非仅响应码变化。输出格式包括不变量登记表、发现（含结论、复现、持久状态证明）、加固说明。该技能明确拒绝在生产资金流、库存账本或第三方计费 API 上运行测试，除非有明确书面范围；拒绝超出约定请求上限或进行持续负载测试；绝不以第三方系统为目标。适用于安全测试人员在授权范围内动态验证业务逻辑漏洞。
log-watch
Log Watch 是一项面向小型 SaaS 团队的安全技能，旨在帮助没有 SIEM 或专职安全人员的小团队建立定时日志审查与告警机制。它通过读取团队已有的生产日志（如 Vercel、Heroku、Sentry、数据库认证表、Stripe、CloudTrail 等），使用确定性规则和模型分层过滤可疑活动，并在发现异常时通过 PagerDuty、Slack 等渠道通知人工处理。该技能仅做检测，不执行任何阻断或配置更改操作，响应决策由人工完成。
patch-sweep
Patch Sweep 是一个面向多应用批量 CVE 响应的安全技能，适用于在 Vercel、Heroku、Render、Netlify、Fly、Railway 等平台托管多个应用、或跨个人账号、机构组织与客户代码库管理项目的场景。它先建立逐应用清单，梳理每个仓库实际服务哪个平台项目和域名、生产环境从哪个分支构建，再识别陈旧手动部署、重复项目、无项目仓库等风险，逐应用判断是否受影响，最后在授权范围内完成补丁分支、预览验证、合并、生产确认与回同步。该技能强调先做补偿性缓解（环境变量开关、WAF 规则、关闭功能、部署保护），只做范围内的依赖修复，不强制升级大版本；对非本人所有的仓库只提交 PR，不推送不合并，并拒绝删除项目或关闭保护措施以加速合并。
personal-opsec
个人操作安全审计工具，针对创始人或独立运营者自身的笔记本电脑、邮箱、手机号、密码管理器等根信任设置，进行只读检查与提问，输出按优先级分类的差距报告。基于Karpathy的15项安全控制清单，并补充运营者关键项和AI代理时代的新暴露面。严格限定本人自审，不读取秘密值，不更改任何设置。
scanner-pipeline
Scanner Pipeline 是一个用于设置并运行确定性安全扫描器的技能，覆盖单个仓库或仓库群（fleet）。它按层选择工具（gitleaks、trufflehog、semgrep、osv-scanner、trivy、checkov、Brakeman、govulncheck、Supabase 安全顾问、ZAP baseline、nuclei 等），非交互式运行，将输出统一为 findings 格式并导出 SARIF，去重后把每个发现交给修复代理。该技能只负责编排，深度解读留给各层技能（secrets-audit、dependency-audit 等），不进行主动利用；实时扫描需用户授权且仅限自有域名。