access-control-designer
这是一个用于设计应用内角色、权限矩阵和权限门控 UI 的 Claude 技能。它帮助开发者在产品中一次性定义“谁可以做什么”，并以数据形式维护权限矩阵，然后在 Rails API 中用 Pundit 策略执行、在前端用 CASL 规则门控界面。核心规则包括：默认拒绝、UI 检查权限键而非角色名、角色绑定在成员关系上、策略是最终权威。适用于需要为多租户 B2B 产品实现精细授权体系的场景。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-28 00:17
安全与审计
7,581 个结果
security-auditor
security-auditor 是一个用于对应用代码进行安全审计的技能，可检查安全漏洞、OWASP Top 10 问题、泄露的密钥与合规缺口。
account-abstraction
面向 Starknet 账户抽象（AA）的正确性与安全指南，聚焦 __validate__/__execute__ 路径、nonce、签名与 session-key 策略，用于审查账户合约、设计会话密钥边界并验证重放保护。
frappe-tweaks-ac-rules-expert
Frappe Tweaks 的 AC Rules 专家指南，介绍这套基于规则的高级访问控制框架，用于在 Frappe 内置权限之上实现记录级细粒度权限，涵盖规则创建、DocType/工作流/报表集成、调试与排错。
security-audit
Web 应用安全审计技能，覆盖 OWASP Top 10、认证授权、数据保护与安全编码实践，适用于上线前检查、认证流程评审、API 安全与依赖更新后的定期审计。
security-audit
对代码与项目进行安全审计的技能，覆盖 OWASP Top 10:2025、依赖漏洞、敏感信息泄露、认证授权等，输出结构化审计报告并给出修复方案。
netra-pii-and-input-guardrails
该技能用于在将文本发送给大语言模型之前检测、遮蔽或阻断其中的个人身份信息（PII），并在智能体或工具执行前对输入进行提示注入扫描。它基于 Netra 的检测器与扫描器，支持选择 PII 检测器（如 get_default_detector 或 RegexPIIDetector），按策略设置 MASK、FLAG、BLOCK 等安全动作，并可通过 InputScanner 以 ScannerType.PROMPT_INJECTION 扫描用户输入。资料给出的 Python 与 TypeScript 两种模式示例展示了如何在输入管道中先扫描恶意输入（命中即报错阻断），再对通过扫描的文本执行 PII 遮蔽。适用于需要在调用模型或工具前保护提示与日志、拦截恶意输入并保留安全元数据的场景。
qa-tester
面向测试与质量保障的 AI 技能，用于制定测试策略、编写测试用例和缺陷报告，覆盖单元、E2E、安全与性能测试，强调严格以项目 docs/ 文档为唯一依据。
code-security
基于 Semgrep 的代码安全扫描技能，可对当前项目检测漏洞、密钥泄露与 OWASP Top 10 问题，支持按语言选择规则集并输出分级安全报告。
security-review
Security Review 是一个用于审查代码安全漏洞的技能，聚焦 OWASP Top 10 及项目技术栈特有的安全问题。它通过 git diff 确定待审查的变更文件，完整阅读每个文件后，按严重程度（Critical、High、Medium、Low）输出结构化报告。报告包含文件与行号、漏洞类型、当前代码片段、利用场景、修复建议及周边上下文，供本地主会话或 CI 工作流作为修复清单使用。
security-review
security-review 是一个代码安全审查技能（Skill），来自 kklimuk/claude-starter。它的用途是对代码变更（diff）进行安全漏洞审计，重点关注 OWASP Top 10 以及项目技术栈特有的安全问题。该技能通过 git 命令确定需要审查的文件范围（如 git diff main...HEAD --name-only），在审查前会先阅读 CLAUDE.md 以了解项目技术栈和安全敏感子系统（认证、实时通信、支付、文件上传），并完整读取每个变更文件。审查覆盖注入与输入处理（SQL 注入、命令注入、XSS、路径遍历、原型污染）、认证与授权（缺失认证检查、IDOR、权限提升）、数据暴露（过度获取、错误泄漏、日志中的敏感数据）、实时/WebSocket 安全（频道授权、消息伪造、载荷校验）、拒绝服务（无界查询、正则 DoS、资源耗尽）、密码学与密钥（硬编码密钥、弱随机数、缺失 TLS）和依赖项漏洞等方向。最终输出按 Critical、High、Medium、Low 四个严重级别组织的结构化报告，每条发现包含文件与行号、严重级别、漏洞类型、当前代码片段、利用场景、修复方案和周边上下文。报告作为本地主会话或 CI 工作流的待办清单使用。该技能不会标记代码风格问题，也不建议添加 WAF、限流器或基础设施改动。
fnox
fnox 是一个以命令行方式管理密钥（secrets）的工具，把密钥当作环境变量来处理，同时支持将加密后的密钥以密文形式存入 git 仓库，以及对接远程云厂商的密钥管理服务。它通过 fnox.toml 等配置文件描述密钥来源，支持多 profile、多 provider，并提供 set/get/list/remove 等增删改查命令，可通过 fnox exec 在注入密钥环境变量的前提下运行命令，还提供 import/export、check、scan、init、doctor 等辅助能力。适用范围覆盖本地加密（age、KMS、密钥链、密码管理器）到云端（AWS、GCP、Azure、Vault、Infisical）。
pnpm-audit-fix
面向 pnpm 项目的依赖安全审计与修复技能：先用 pnpm audit 收集漏洞，生成 moderate 及以上问题的修复前报告，经用户确认后按优先顺序修复，绝不自动改动文件。
npm-vulnerability-analysis
面向 npm 包的多版本漏洞分析技能，可扫描指定包各版本的 npm audit 结果，识别安全版本区间、跟踪漏洞趋势并生成 Markdown、CSV、HTML 报告。支持 npm、pnpm、yarn，支持中英文版本范围输入。
kortix-cli
kortix-cli 是 Kortix 的命令行控制面，可在终端中脚本化操作 Kortix。它在每个会话沙箱中已预装并预认证，二进制位于 /usr/local/bin/kortix，并预注入项目级令牌与 API 地址，无需额外配置即可使用。
codebase-cleanup-deps-audit
该技能面向依赖安全与供应链风险审计，用于分析项目依赖中的已知漏洞、许可证合规问题、过时软件包，并给出可执行的修复与升级建议。适用于需要审计依赖漏洞、检查许可证合规或供应链风险、识别过时包及升级路径、准备安全报告或修复计划的场景。技能会清点直接与传递依赖、运行漏洞与许可证扫描、按严重程度和暴露面排序修复优先级、提出带兼容性说明的升级方案。不适用于项目没有依赖清单、无法更改或更新依赖、或任务与依赖管理无关的情况。安全方面要求不将敏感漏洞细节发布到公开渠道，并在生产发布前于预发布环境验证升级。输出包含依赖摘要与风险概览、漏洞与许可证问题、建议升级与缓解措施、假设与后续任务。
dependency-management-deps-audit
一个依赖安全审计技能，用于扫描项目依赖中的已知漏洞、许可证合规问题、过期包与供应链风险，并给出按严重程度排序的修复建议与升级路径。
ffuf-web-fuzzing
该技能提供 ffuf 网页模糊测试的专家指导，用于渗透测试中的目录与文件发现、子域名枚举、参数与 POST 数据模糊测试、请求头模糊测试等场景。内容涵盖 FUZZ 关键字用法、多字典模式（clusterbomb、pitchfork、sniper）、匹配与过滤规则、自动校准（-ac）、速率限制与超时、输出格式、通过原始 HTTP 请求进行带认证的模糊测试、代理使用、编码、漏洞测试与批量处理等，并包含辅助资源（字典指南、请求模板、ffuf_helper.py 脚本）以及最佳实践与故障排查建议。
network-101
面向渗透测试实验环境的网络服务配置与测试技能，用于搭建和枚举 HTTP、HTTPS、SNMP、SMB 等常见服务，涵盖服务端配置、防火墙放行、枚举命令与日志分析。
security-audit
面向 Web 应用、API 与基础设施的综合安全审计工作流，编排侦察、漏洞扫描、Web 与 API 测试、渗透测试、加固及报告等阶段，供安全评估与合规检查使用。
security-requirement-extraction
该技能用于将威胁模型与业务上下文转化为可执行的安全需求，适合编写安全用户故事、映射合规需求、制定安全验收标准与测试用例，并支持安全架构文档整理。
security-scanning-security-dependencies
面向项目依赖的漏洞扫描与供应链安全技能，支持多生态系统的依赖漏洞分析、SBOM 生成与许可证合规检查，可评估风险并给出修复策略，需用户批准后才执行自动修复或升级。
semgrep-rule-creator
用于编写自定义 Semgrep 规则的技能：检测安全漏洞、缺陷模式与代码模式，产出带测试与验证的生产级规则。
age
age 是一款现代文件加密命令行工具，常被视为 GPG 的替代方案。它通过公钥或口令加密、解密文件，支持 SSH 密钥作为收件人、ASCII armor 文本输出与管道流式处理，适合备份、脚本与自托管场景。