SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-28 00:17
7,605 个结果
CSO 是一个面向安全审计的 Skill，强调“基础设施优先”，覆盖 14 个阶段的审计流程。其审计范围包括攻击面测绘、密钥考古（通过 git 历史查找泄露的密钥）、供应链分析、CI/CD 流水线安全、LLM/AI 威胁检测、OWASP Top 10 以及 STRIDE 威胁建模。该 Skill 具备置信度门控、利用场景、并行验证与趋势追踪能力，并声明为只读（Read-only）。根据给出的资料，它引用自 Garry Tan 的开源项目 gstack，采用 MIT 许可证。除上述能力范围与只读属性外，资料暂未提供更详细的安装步骤、运行入口或平台要求，需以实际 Skill 文件为准。
fp-check 是一个面向安全漏洞分析的系统化误报验证技能，用于判断某个疑似漏洞是否真实、是否可被利用。该技能强调先用自己的话复述漏洞声明，明确漏洞类型、根因、触发条件、影响范围、威胁模型、执行上下文、调用方约束及相关历史背景；随后在标准验证与深度验证两条路径中选择合适的流程。标准验证适用于声明清晰、单组件、漏洞类型明确且数据流直接的情形；深度验证适用于声明含糊、跨组件、涉及竞态或复杂逻辑缺陷的情形。验证过程中设有强制性的门禁评审环节，并需拒绝“代码看起来危险即判定为漏洞”“为提高效率简化分析”“类似代码在别处有漏洞就类推”等常见合理化借口。该技能还提供批量研判流程，先对所有疑似漏洞逐一执行初步复述，再分别路由并优先处理标准路径漏洞，最终汇总真实漏洞与误报清单，并检查独立判定失败的发现是否可能组合成利用链。相关资料还列出标准验证、深度验证、门禁评审、漏洞类别验证、误报模式和证据模板等参考文档。
insecure-defaults 是一项安全审计技能，用于查找因缺少配置而“失败开放”（fail-open）的不安全默认值漏洞。它会搜索硬编码凭据、回退密钥、弱认证默认值以及生产环境中的危险取值，并区分真正可利用的不安全默认与安全崩溃（fail-secure）模式。例如 `SECRET = env.get('KEY') or 'default'` 会让应用带着弱密钥继续运行，而 `SECRET = env['KEY']` 在缺少配置时会直接崩溃，属于安全做法。该技能适用于生产应用的安全审计（认证、加密、API 安全）、部署文件与 IaC 模板及 Docker 配置的配置审查、环境变量处理与密钥管理的代码审查，以及上线前对硬编码凭据或弱默认值的检查。其流程为搜索、验证、确认生产影响并以证据形式报告。它不适用于测试夹具、示例或模板文件、仅开发用工具、文档示例、构建期配置，以及缺少配置即崩溃的行为。
用于在拉取请求上自动执行安全审查的 GitHub Actions 工作流，采用三阶段安全方法并带误报过滤与置信度评分，仅将置信度不低于 0.8 的发现作为 PR 评论发布，可对高危发现阻止合并。
Semgrep Rule Creator 是一个用于创建自定义 Semgrep 规则的技能，可帮助检测代码中的缺陷模式和安全漏洞。该技能强调以生产级质量产出规则，并配套测试与验证流程。其核心方法为：先分析问题、编写测试、分析 AST 结构、编写规则、迭代直至所有测试通过，最后优化规则。技能优先推荐使用 Taint 模式（污染传播模式）处理数据流类漏洞：当不可信输入最终到达危险操作位置（sink）时才告警，相比单纯模式匹配可显著降低误报。规则创建流程要求严格：必须测试优先、100% 测试通过、最后才做优化，并避免过宽泛或过窄的模式。每个 YAML 文件仅包含一条 Semgrep 规则，输出为规则目录（以 rule-id 命名），内含一个 YAML 规则文件和一个带有 ruleid/ok 标注的测试文件。该技能明确不适用于直接运行已有 Semgrep 规则集，以及不使用自定义规则的通用静态分析场景。
该技能用于将已有的 Semgrep 规则移植到新的目标语言，生成语言变体。它强调先做适用性分析，判断漏洞模式是否在目标语言中存在对应构造与语义，再以测试驱动方式编写规则。每个目标语言独立走完四阶段流程：适用性分析、测试创建、规则创建、验证，完成后才处理下一个语言。输入为已有 Semgrep 规则（YAML 路径或内容）和一个或多个目标语言；输出为每个适用语言对应的规则 YAML 与带注解的测试文件目录。流程为严格模式，要求适用性分析不可跳过、每个变体先写测试、测试必须全部通过。它不用于从零创建新规则、运行现有规则扫描代码，或漏洞模式根本不适用的语言。
供应链风险审计器（supply-chain-risk-auditor）是一个面向项目依赖的安全审计技能，用于在安全审计前评估依赖项的供应链攻击面与接管风险。当用户要求“audit this project's dependencies”时激活该技能。它系统性地检查项目的所有依赖，标记出具有高风险特征的库，并生成摘要报告。风险判定标准包括：由单一维护者或少数个人维护、项目无人维护（长期无更新或已废弃/归档）、流行度低（GitHub star 或下载量偏低）、包含高风险特性（如 FFI、反序列化、第三方代码执行）、存在历史 CVE（尤其高危或严重级别且数量相对偏多）、缺少安全联系方式（.github/SECURITY.md、CONTRIBUTING.md、README.md 或网站中均未提供）。该技能明确不用于主动漏洞扫描（应用 npm audit、pip-audit 等专门工具）、运行时依赖分析以及许可证合规审计。使用时需确保 gh 工具可用，未安装时应请用户安装。工作流分为初始设置、依赖审计与审计后三个阶段，最终输出 results.md 报告，包含高风险依赖表、各风险因素计数表、执行摘要与建议。
面向 Tauri v2 生物识别插件的技能指南，聚焦生物识别认证流程与不可用时的回退策略，涵盖 Face ID、指纹集成、权限配置、认证提示与错误处理，并建议与安全存储配合使用。
面向 Tauri v2 http-client 插件的技能指南，讲解如何通过域名白名单与安全传输，在 Rust 侧发起受控的 HTTP 请求并绕过 WebView 限制，覆盖能力与作用域配置、超时重试及错误处理、敏感数据与日志规范，给出请求策略、白名单方案与安全清单。
面向 Tauri v2 localhost 插件的使用指南，帮助应用安全访问本地服务并控制暴露范围，区分开发与生产环境的 localhost 行为。
面向 Tauri v2 persisted-scope 插件的使用指南，覆盖跨会话持久化插件 Scope、Scope 过期与撤销、重新授权流程，帮助定义可持久化的 Scope 及其时长、配置插件能力并验证恢复与降级处理，避免永久过度授权。
面向 Tauri v2 进程插件的技能，指导在受控前提下暴露进程信息，涵盖进程数据与生命周期管理、能力门控与安全边界校验，适用于需要处理进程能力与风险的场景。
关于 Tauri v2 Stronghold 插件的技能指南，聚焦加密存储与敏感数据处理。
面向 Tauri v2 的安全技能，提供安全模型、基线加固与运行时权限控制指导，覆盖 CSP、HTTP 头、Capability 与 Scope 设计，并输出最小权限能力矩阵、分窗口 CSP 方案与上线安全检查清单。
针对 Tauri v2 的权限配置技能，用于设计 Capabilities、Scope 与 ACL 权限控制，生成并校验 capabilities/default.json，帮助在生产环境收敛插件访问。触发词包括 capabilities、scope、acl、权限配置、能力文件等。
对代码变更（分支差异、PR 或工作区）进行对抗式安全审查的 AI 技能，在合并前使用。以“假设 diff 是恶意的”为思路，只报告能对应具体失败场景的发现，并给出排序后的结论。
用于规划 AI 智能体 SOC 2 Type II、ISO 27001 监督审核或 HIPAA 审查的证据收集、整改、演练与审计日执行。它编排控制包与证据包规范，输出时间线、就绪清单和审计日剧本，默认只读，不替代控制包本身。
这是一个面向非政府组织（NGO）与公民社会机构的网络安全韧性提案写作技能，由 Peter Bamuhigire 分享。它帮助撰写或评审针对缺乏专职安全人员机构的可资助、以使命为导向的网络安全韧性方案，将人员、使命、系统、伙伴、预防、检测、响应与恢复串联起来，覆盖钓鱼、勒索软件、间谍软件、冒名与信息操纵等威胁。技能写明适用与不适用场景、所需输入及其缺失时的处理方式、输出物与验收条件、质量标准、决策规则、工作流程、反模式、参考资料与降级模式，并以小 NGO 应对钓鱼与账号丢失风险为例说明如何分阶段实施与取证。
用于网站或营销活动上线前的隐私合规埋点规划技能：梳理关键事件、参数、UTM 命名、Consent Mode v2 与 CMP、服务端打标及去重，产出追踪计划与 QA 证据，不负责实际安装标签。
Security Scan 是一个安全漏洞扫描技能，可扫描项目或指定路径，检查密钥泄露、依赖漏洞、OWASP 代码模式与文件权限问题。可通过 /security-scan 显式调用，也会在 security-auditor 智能体检测到安全敏感代码时自动激活。
用于检查 Go 模块依赖的技能：识别过期模块与已知漏洞，给出安全升级或版本固定建议，输出当前与最新版本、CVE 严重性及受影响范围，并附更新后需运行的测试。
面向 Go 项目的静态分析技能，运行与 CI 对齐的 vet、gosec、govulncheck 检查，并将发现的问题按严重程度整理为可优先处理的修复步骤，可用于本地复现 CI 静态分析失败。
本技能用于在 iOS 应用中使用 PingOne DaVinci 构建认证流程。它基于 Ping Orchestration iOS SDK 的 DaVinci 模块，配合 SwiftUI 与 MVVM 模式，可快速搭建完整的认证界面。技能会生成 DaVinci 实例配置（OIDC 模块、discovery 端点）、MVVM 状态管理、动态渲染 collector 节点的 SwiftUI 视图，并覆盖文本、密码、提交、流程跳转、标签、单选、多选、电话号码、设备注册/认证等核心 collector，以及社交登录、FIDO2/Passkey、PingOne Protect 等可选 collector。它还处理 ContinueNode、SuccessNode、FailureNode、ErrorNode 等节点类型、表单校验（ValidatedCollector 与 ValidationViewModel）、OIDC token 交换与会话管理以及登出。该技能可生成全新示例应用或为已有 SwiftUI 应用集成认证。需要 user 提供 clientId、discoveryEndpoint、scopes、redirectUri 等配置，并依赖 Ping iOS SDK 1.3.0 及以上版本。
SiteOS 统一 CLI 的身份认证技能，用于登录、查询或结束会话、列出与创建组织、选择当前组织等身份相关操作。所有操作通过统一 CLI 命令与安全结构化输出完成，不直接调用认证接口或读取凭据文件。