SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
6,018 个结果
WebSocket 安全技能，聚焦于实时双向通信中的安全防护，重点覆盖跨站 WebSocket 劫持（CSWSH）防御、身份认证与消息校验。该技能以测试驱动开发（TDD）为主线，提供 Origin 校验、基于令牌的认证、逐消息授权、速率限制、空闲超时、连接池与背压处理等实现模式，并给出 CVE 案例与 OWASP Top 10 映射。适用于使用 FastAPI/Starlette 与 websockets 库构建 WebSocket 服务的开发者，帮助在持久连接场景下建立安全边界。
该技能用于在获得授权的渗透测试中，对 WebSocket 实现进行安全测试，覆盖认证绕过、跨站 WebSocket 劫持（CSWSH）、消息注入、消息级授权缺失、速率限制缺失以及传输加密等问题。技能提供了从端点发现、认证测试、Origin 校验、注入测试到授权与限流测试的完整工作流，并给出使用 Burp Suite、wscat、websocat、浏览器 DevTools 和 Python websockets 等工具的具体命令与脚本示例，最终输出结构化的 WebSocket 安全评估报告。
Pentest-R1 是一个两阶段强化学习框架，用于训练大语言模型执行自主渗透测试与 CTF 挑战。第一阶段在 500 多条真实专家渗透测试演练数据上进行离线强化学习，第二阶段在交互式 CTF 环境中进行在线强化学习，以培养稳健的攻击推理能力。项目基于 Meta-Llama-3.1-8B-Instruct 模型，使用 Unsloth 进行高效微调，并以 InterCode-CTF 作为交互训练环境。
kernel-security 是一个面向 Linux 内核安全的技能，用于指导智能体处理 LSM 框架（SELinux、AppArmor）、seccomp-bpf 与 libseccomp、KASLR 及其绕过缓解、Intel CET（Shadow Stack 与 IBT）、ARM PAC 与 BTI、内核内存检测工具（KASAN、KMSAN）以及内核漏洞 CVE 分诊。适用于编写受限服务的 SELinux/AppArmor 策略、为进程添加 seccomp-bpf 沙箱、使用 CET/PAC/BTI 加固二进制、在内核构建中启用 KASAN 进行漏洞研究、评估内核 CVE 对发行版/内核版本的影响，以及设计容器或微服务的安全边界。
Smart Contract Security 是一个面向智能合约安全领域的技能（Skill），用于帮助开发者掌握智能合约的安全审计、漏洞检测与事件响应。它覆盖常见漏洞（如重入、访问控制缺失、预言机操纵、整数精度损失）、系统化审计方法论（人工审查、静态分析、模糊测试、形式化验证）、常用安全工具（Slither、Mythril、Foundry、Certora）以及安全事件响应流程（分级、缓解、复盘、披露）。该技能还提供漏洞速查示例、审计清单、严重性分级参考和常见陷阱提示，适合在 Solidity 开发与 DeFi 协议安全场景中使用。
该技能用于通过阿里云 OpenAPI（RPC）及官方 SDK 或 OpenAPI Explorer 管理云防火墙（Cloud Firewall，产品代码 Cloudfw，默认 API 版本 2017-12-07）。适用于用户提出防火墙策略或资源操作、变更管理、状态查询等请求的场景。使用流程为：确认地域、资源标识与目标操作，发现 API 列表及所需参数，通过 SDK 或 OpenAPI Explorer 调用 API，再用 describe/list 类接口验证结果。凭证优先使用环境变量 ALICLOUD_ACCESS_KEY_ID、ALICLOUD_ACCESS_KEY_SECRET 及可选的 ALICLOUD_REGION_ID，也可使用共享配置文件 ~/.alibabacloud/credentials。高频操作模式包括：用 List*/Describe* 做清单查询，用 Create*/Update*/Modify*/Set* 做变更配置，用 Get*/Query*/Describe*Status 做状态诊断。提供元数据优先的快速开始脚本 scripts/list_openapi_meta_apis.py，产物写入 output/alicloud-security-cloudfw/ 目录。执行前需配置最小权限凭证，地域不明确时应先询问用户。
OWASP Top 10:2025 是一份面向安全审查的技能资料，系统梳理了 2025 版 OWASP Top 10 的十大安全风险类别，涵盖访问控制失效、安全配置错误、供应链失效、加密失效、注入、不安全设计、认证失效、完整性失效、日志与告警失效以及异常处理。资料为每一类风险提供了预防要点、代码示例、安全扫描命令、检查清单、反模式与快速排查表，并说明了不适用场景（如 2021 版、密钥管理、供应链深度管理、许可证合规等应使用其他技能）。适合开发与安全人员在代码审查、安全评审和漏洞排查时参考。
该技能用于指导用户学习并掌握完整的道德黑客（渗透测试）方法论，覆盖从侦察、扫描、漏洞分析、利用、维持访问到报告的全流程。它面向获得书面授权的安全评估场景，介绍 Kali Linux 环境准备、常用工具（如 Nmap、Nikto、Metasploit、SQLMap、Hydra、John the Ripper、Gobuster、theHarvester 等）的用法、常见攻击类型（钓鱼、恶意软件、网络攻击）以及专业报告结构与伦理准则。技能强调必须取得系统所有者的书面授权、明确测试范围、记录所有活动并保持保密。资料还包含各阶段的具体命令示例、常见端口参考、风险评级标准与故障排查建议。
该技能用于通过阿里云 OpenAPI（RPC）及官方 SDK 或 OpenAPI Explorer 管理阿里云 ID Verification（Cloudauth，实人认证/身份核验）服务。适用于身份核验相关资源的操作与配置，包括查询资源清单、创建或修改配置、诊断状态等。产品代码为 Cloudauth，默认 API 版本 2022-11-25。使用前需配置最小权限的阿里云凭证，优先使用环境变量 ALICLOUD_ACCESS_KEY_ID、ALICLOUD_ACCESS_KEY_SECRET 及可选的 ALICLOUD_REGION_ID，也可使用共享配置文件 ~/.alibabacloud/credentials。技能提供元数据优先的 API 发现脚本，并规定将响应与生成产物保存到指定输出目录。
该技能用于修复 Google Cloud Security Command Center（SCC）发现的安全问题，涵盖 IAM 权限修复、云资源配置错误、漏洞以及多域 Toxic Combinations。它通过意图路由按发现类别加载对应的修复手册，并在执行任何变更前强制要求用户确认修复计划，提供验证与回滚命令，确保安全可控。
本技能介绍如何对 Terraform 基础设施即代码（IaC）进行安全审计，使用 Checkov、tfsec、Terrascan 和 OPA/Rego 策略检测过度宽松的 IAM 权限、未加密的 S3 存储桶、开放的安全组等安全配置错误。适用于在 CI/CD 流水线中集成安全扫描、在应用前审查 Terraform 计划与模块、构建策略即代码护栏、审计现有 Terraform 状态文件，以及跨多个项目强制执行组织安全标准。不适用于运行时安全监控、应用安全测试或云配置漂移检测。
阿里云安全中心（Security Center，产品代码 Sas）的 OpenAPI/SDK 管理技能。用于通过阿里云 OpenAPI（RPC 风格）配合官方 SDK 或 OpenAPI Explorer 对安全中心资源执行操作，包括资源查询、配置变更与状态诊断。技能遵循先确认区域、资源标识与目标动作，再发现 API 列表与必填参数，随后调用 API 并用 describe/list 类接口验证结果的工作流。凭证优先使用环境变量 ALICLOUD_ACCESS_KEY_ID、ALICLOUD_ACCESS_KEY_SECRET 及可选的 ALICLOUD_REGION_ID，其次使用共享配置文件 ~/.alibabacloud/credentials。默认 API 版本为 2021-01-14。提供元数据优先的 API 发现脚本，输出产物统一写入 output/alicloud-security-center-sas/ 目录，并附带校验步骤。
Pentest Commands 是一个面向渗透测试的命令参考技能，汇集了网络扫描、漏洞利用、密码破解和 Web 应用测试等常用工具的命令示例。它覆盖 Nmap、Metasploit、Nikto、SQLMap、Hydra、John the Ripper、Aircrack-ng 以及 Wireshark/Tshark 等工具，提供主机发现、端口扫描、服务识别、NSE 脚本、漏洞利用、载荷生成、SQL 注入检测、暴力破解、哈希破解和无线网络测试等命令片段，便于在安全评估过程中快速查阅。该技能要求使用 Kali Linux 或渗透测试发行版，并强调必须获得书面授权，同时提示部分扫描易被检测、暴力破解可能导致账户锁定等限制。
Solana Security Standard 是一套面向 Solana 程序安全的 SOL-0XX 规则标准，包含 37 条规则，源自超过 5.14 亿美元真实漏洞利用案例的提炼。它可在编码过程中检测调用方控制的时钟值、跨市场状态不对称、缺失的 Anchor 约束、包装器/引擎逻辑漂移等 37 类漏洞。该标准支持 Claude Code、Cursor、Windsurf、Copilot、Cline、Aider、VS Code 扩展、CLI、Semgrep、GitHub Actions 以及任意 MCP 客户端。安装方式包括 Claude Code 插件、npx CLI、GitHub Action、VS Code/Cursor/Windsurf 扩展、MCP 服务器以及各 AI 工具的规则文件复制。CLI 支持目录/文件扫描、JSON/SARIF 输出、按严重级别过滤和基线模式，发现问题时以非零状态退出以拦截 CI。
Varlock 是面向 Claude Code 会话的安全环境变量管理技能，核心原则是密钥永不暴露。它通过 .env.schema 定义变量的类型、校验与敏感标记，用 varlock load 掩码显示校验结果，避免密钥出现在终端输出、上下文、日志或 Git 提交中。
用于以 JWT Bearer 令牌校验和 scope 检查保护 PHP API 端点的技能，基于 auth0/auth0-php 的 API 模式（STRATEGY_API）实现无状态鉴权，适用于接收访问令牌的后端接口。
Didit 的身份证件核验 API（didit-id-document-verification）是一个独立的同步接口，用于通过证件正面和背面图像（或 PDF）核验身份文件。它自动识别证件类型（无需声明国家和类型），对可视区进行 OCR，解析 MRZ 与条码，交叉核对日期、号码格式和 MRZ 校验位，并默认检测屏幕翻拍、打印件和头像篡改。返回提取字段、Approved 或 Declined 状态以及警告列表。支持 JPEG、PNG、WebP、TIFF、PDF 格式，每侧最大 10 MB，覆盖 220 多个国家和地区 14000 多种证件类型，按每次返回 200 的调用计费 0.2 美元。
该技能用于审计 Kubernetes 集群的 RBAC 配置，识别权限过宽的角色、通配符权限、危险的 ClusterRoleBinding、服务账号令牌挂载以及特权容器等问题。适用于 EKS、GKE、AKS 或自管理集群的安全评估、最小权限验证、横向移动与提权调查、合规审计以及新团队接入共享集群时的策略定义。工作流涵盖枚举危险权限、审查绑定、使用 rbac-tool、KubiScan、Kubeaudit 等工具进行自动化分析，并输出审计报告。
该技能用于在 Quarkus 应用中设计、审查和改进安全性，覆盖 Quarkus Security 的 JWT/OIDC、基本认证、@RolesAllowed / @Authenticated / @PermitAll 授权注解、端点与资源保护策略、最小权限角色设计、安全的拒绝与错误处理行为，以及日志和响应中的敏感数据保护。技能强调安全默认的 API 与服务边界，并给出强制性的编译与验证流程：应用改动前必须先运行 ./mvnw compile 或 mvn compile，编译失败立即停止；改进后运行 ./mvnw clean verify 或 mvn clean verify 进行完整验证。适用于添加 Quarkus 安全支持、审查安全配置、改进 API 授权、接入 JWT/OIDC、加固授权规则以及在服务中实现 SecurityIdentity 检查等场景。
用于防止应用日志记录敏感用户数据的技能，提供 PII 脱敏规则、日志策略与安全日志格式化，适用于 PII redaction、log privacy、GDPR logging 等场景。
JellyfinSecurity 是面向 Jellyfin 媒体服务器（10.11+）的服务端认证与加固插件，由 ara.so 的 Security Skills 集合提供。它在服务端为所有 Jellyfin 客户端（Web、Android、iOS、Roku、Fire TV、Kodi）及 Sonarr、Radarr、Tautulli 等服务集成统一启用多因素认证（TOTP、Passkeys/WebAuthn、邮件 OTP、恢复码）、OIDC 单点登录、暴力破解防护、设备配对、网络访问控制、审计日志与敏感操作二次验证。插件通过中间件拦截登录请求，用户端无需改动代码。
该工具是针对 CodeIgniter 框架的 PHP 白盒静态安全审计技能，聚焦框架自身机制与常见配置踩坑。审计范围覆盖 CSRF 保护启用情况与 token 校验逻辑、输出过滤与 XSS 防护、数据库查询构造中的 SQL 拼接、表单验证器覆盖与绕过、会话 Cookie 安全标志及会话配置、鉴权与访问控制模式，并将每条发现映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS/LOGIC 等）。使用时可指定 CodeIgniter 项目根目录作为 source_path，可选指定 output_path，默认输出到 {source_path}_audit 目录下的 framework_audit/codeigniter_{timestamp}.md。审计要求先给出框架识别证据（如 application/ 与 system/ 目录、config.php 配置、composer.json 或 system/core 结构），再逐项检查并输出结果，每条风险包含映射类型码、位置证据、可观测验证框架与修复建议，并要求提供至少一类可观测 PoC（如缺失 CSRF token 的状态变更请求，或 SQL 注入 payload 的返回差异）。
用于在仓库中使用 SOPS 加密文件中的密钥与私有工具配置的技能。当任务依赖密钥、私有仓库或环境变量，且存在对应的 *.sops.* 文件时，应解密该文件而非依赖公开回退配置。
skill-vetter 是一套面向 AI 智能体的安全优先技能审查协议，用于在安装来自 ClawdHub、GitHub 等来源的技能前进行风险检查。它通过来源核查、代码审查、权限范围评估和风险分级，输出审查报告与安装结论，帮助避免安装含恶意行为的未知代码。