security-scanning
用于检查代码漏洞、Shell 脚本 lint、容器与 IaC 安全扫描以及加密密钥管理的技能，整合 Trivy、ShellCheck 和 sops 三类工具，支持 JSON/SARIF 结构化输出，便于接入 CI 流程。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-28 00:17
安全与审计
7,580 个结果
stackblitz-security-basics
面向 StackBlitz 与 WebContainer 嵌入场景的安全技能，产出基于代码仓库的威胁模型与有限加固方案，覆盖宿主、运行时、用户代码、文件系统、依赖、网络、预览、密钥与持久化边界。
techsmith-security-basics
针对 Snagit 与 Camtasia 桌面自动化流程的安全加固技能，围绕录屏同意、许可证保密、本地存储、共享目标、最小权限和产物审查建立明确边界，使自动化权限窄于交互用户，输出威胁、控制、残余风险与审计证据。
together-security-basics
用于安全配置 Together AI 集成的技能，覆盖项目级密钥、环境隔离、提示与输出数据控制、模型行为边界、安全日志与密钥轮换等要点，帮助团队建立凭据、数据、模型输出、工具调用和日志的明确控制与责任人。
tracing-transitive-vulnerabilities
该技能用于追踪 npm 或 Python 项目的传递依赖漏洞：构建依赖树，把每个已知漏洞的传递包回溯到直接依赖，给出清除最多漏洞的单点升级建议、不可达漏洞与深层传递风险报告，辅助供应链漏洞的分级修复。
vercel-security-basics
面向 Vercel 部署的安全实践技能，涵盖环境变量密钥管理、安全响应头、部署保护与访问令牌规范，帮助避免密钥泄露并加固 API 路由。
windsurf-audit-logging
为 Windsurf Enterprise 部署配置 AI 交互审计日志的技能，覆盖 AI 交互、文件访问、认证事件与配置变更的日志记录，面向合规与安全审计场景。
windsurf-code-privacy
用于配置 Windsurf 部署的代码隐私与数据保留策略的技能，涵盖数据传输控制、保留策略、区域合规设置和代码排除模式，适用于有合规要求的企业环境。
windsurf-dependency-management
Windsurf 依赖管理技能：在 Windsurf 项目中分析依赖树、扫描安全漏洞、建议安全更新，并协助规划大版本升级的迁移路径。适用于 npm、yarn、pnpm、pip 等包管理器。
windsurf-enterprise-sso
为 Windsurf 部署配置企业级单点登录（SSO）的技能，支持 SAML 2.0、OIDC/OAuth 2.0，并可对接 Okta、Azure AD、Google Workspace 等身份提供商。
workhuman-security-basics
为 Workhuman 身份、员工数据、认可、奖励、Store 与集成定义共享责任安全控制，适用于威胁评审、访问审查、数据流梳理与事件控制，强调最小权限、数据最小化、财务完整性与基于证据的合规验证。
audit-skill
audit-skill 是面向 Odoo 代码库的多维审计技能，覆盖安全漏洞、代码质量、模块结构合规与性能分析，可用于识别硬编码凭证、SQL 注入、缺失访问规则、N+1 查询、缺少索引及配置与合规问题。
security-audit
这是一个面向代码库、API、服务、CLI 工具、库和守护进程的安全指导与漏洞审查技能，用法以防御性、源码优先的方式找出真正跨越信任边界的漏洞，并给出源码证据、安全复现方式、优先级和最小有效修复方案。技能默认处于“指导模式”，只按需使用相关部分回答安全问题、做聚焦审查、方法论、分类排查或调查具体发现；只有当用户明确要求审计、渗透测试、完整或端到端安全审查，或要求报告产物时，才进入“完整审计模式”，执行全部六个阶段并生成规定文件。它强调：没有明确受影响主体、资源或安全结果的候选问题不算已确认发现；全程要求源码只读，目标代码只能在具备无外网、显式允许清单环境、只读目标与工具链、明确资源限制的 OS 级沙箱中执行；禁止探测真实端点、外部服务、共享基础设施、生产身份或他人数据，不得消耗付费 API 配额、发布产物或改动发布。资料还详述了完整审计的初始化（目标、仓库名、输出目录、源码引用）、写入隔离和产物晋升流程、覆盖台账与既有运行复用、quick/standard/deep 三种运行配置、范围子集审计、按代理调用次数计算的严格预算门槛与保留额规则，以及证据标准、需验证项纪律和独立验证要求。
jwt-auth
JWT 认证技能，提供访问令牌与刷新令牌、RBAC 角色权限和多租户支持，触发词包括 jwt、authentication、auth、token、rbac、authorization、login。覆盖 Go、TypeScript、Python 技术栈。
reverse-engineering
该技能用于需要理解编译后软件实际工作原理的问题，包括反编译或反汇编原生、.NET、IL2CPP、Java、JavaScript 或 ROM 代码，寻找格式或逻辑等。强调以指令、字节、数据文件和运行时行为为规范，将反编译器输出、名称、维基和记忆视为假设；分析前记录目标信息并保持原始文件不变；先利用免费信息（调试符号、元数据、社区工具），再静态分析并用动态手段验证；要求区分观察、推导、推断和未知，并注意安全与法律合规。
echidna
Echidna 是 Trail of Bits 开发的以太坊智能合约属性模糊测试工具，通过生成随机交易序列并配合覆盖率引导变异，寻找用户自定义属性的违反情况。支持属性、断言、优化与 dapptest 四种模式，可用于不变量编写、语料管理与配置调优。
hyperlane
Hyperlane 是无需许可的跨链互操作层，任何人均可将其部署到 EVM、Cosmos、Sealevel（Solana）或 Move 链上。它通过 Mailbox 传递消息，配合可配置的跨链安全模块（ISM）与 Warp Routes 实现代币跨链，并提供 hooks 等能力。
mythril
Mythril 是 Consensys Diligence 维护的 EVM 字节码符号执行工具，用于检测 Solidity 智能合约安全漏洞。它通过 LASER 符号虚拟机、跨多笔交易探索可达状态，并用 Z3 求解器生成具体利用交易序列，适合证明漏洞可利用性，可配合 Slither 等静态分析工具使用。
openzeppelin
OpenZeppelin Contracts 是用于安全智能合约开发的标准库，被 Uniswap、Aave、Compound 等生产级 Solidity 项目广泛使用，提供经审计的模块化构建块，涵盖代币、访问控制、安全模式、可升级性与治理，当前版本为 v5。
polymarket
Polymarket 是运行在 Polygon 上的预测市场协议，采用中央限价订单簿（CLOB）撮合，支持二元结果代币交易、L1/L2 双重认证、限价与市价下单、订单簿与行情读取、WebSocket 实时推送以及 CTF 拆分红兑换等操作。
solidity-auditor
面向 Solidity 智能合约开发过程的安全审计技能，可触发于 audit、check this contract、review for security 等指令，支持默认全仓库扫描、DEEP 深度模式与指定文件扫描，并可将报告输出到终端或文件。
solidity-security
面向 Solidity 智能合约的安全实践资料，梳理 DeFi 常见漏洞的成因与防护写法，覆盖重入、代币精度、安全转账、预言机、金库通胀、访问控制、代理升级与 EIP-712 签名等主题，供开发与审计准备参考。
cyber-risk-assessment
基于 NIST CSF 2.0、ISO 27001 与 CIS Controls v8 的网络安全风险评估方法：通过成熟度评估、威胁面分析、控制差距与 FAIR 量化等模块，输出风险与整改优先级，用于企业安全评估与规划。
access-control-designer
这是一个用于设计应用内角色、权限矩阵和权限门控 UI 的 Claude 技能。它帮助开发者在产品中一次性定义“谁可以做什么”，并以数据形式维护权限矩阵，然后在 Rails API 中用 Pundit 策略执行、在前端用 CASL 规则门控界面。核心规则包括：默认拒绝、UI 检查权限键而非角色名、角色绑定在成员关系上、策略是最终权威。适用于需要为多租户 B2B 产品实现精细授权体系的场景。