modular-sso
基于 Scalekit 实现模块化 SSO 与认证流程的技能，涵盖 Modular SSO、IdP 发起的登录、用户会话管理与企业客户接入。适用于已有用户管理系统的应用，通过 SDK 或直连 URL 完成授权跳转、回调处理与令牌校验。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-28 00:17
安全与审计
7,609 个结果
add-api-auth
Scalekit 技能 add-api-auth：为 API 添加 API key 或客户端凭据认证，使代理能保护接口。默认 Node 语言、组织级不透明 API key；含创建、逐请求校验、列出与失效流程，不涉及 OAuth 2.1 或 SaaSKit 登录。
implement-access-control
这是一个面向开发者的访问控制实现技能，用于在路由层面配置角色与权限，从而让智能体保护指定端点。当用户需要角色、权限或 RBAC 时可以使用它。技能的核心要求是：在读取角色或权限之前先调用 validateToken；在服务端路由处强制执行检查（客户端检查仅用于用户体验）；缺少所需角色或权限时返回 403，绝不默认放行；将校验器挂载在 requireRole / requirePermission 之前；不编写登录、回调或登出逻辑（应改用 implement-saaskit）。它默认使用 Node 语言，支持 Express、Next.js App Router、Django、FastAPI、Flask 等场景，并要求登录功能已经存在。该技能通过六个步骤（确认登录与角色、初始化 SDK、校验并附加声明、在路由处要求角色或权限、验证、停止）完成端点的访问控制保护，不涉及登录、刷新或撤销会话等实现。
implement-saaskit
implement-saaskit 是 scalekit-inc/skills 提供的一个技能，用于让智能体为应用实现 SaaSKit 登录流程，包括添加登录路由、回调处理、会话 Cookies 和退出登录。该技能默认使用 Node.js，适用于需要接入 Scalekit 身份认证的通用后端场景；若为 Next.js App Router 应改用 implement-saaskit-nextjs，若是 Django、FastAPI 或 Flask 应改用 implement-saaskit-python。技能强调服务端校验令牌、不信任原始 JWT 声明、不将令牌放入 localStorage，并要求 redirectUri 与仪表板允许的回调 URL 完全一致。
implement-saaskit-python
implement-saaskit-python 是面向开发者与编码智能体的技能说明，用于在 Python Web 框架中为应用接入 Scalekit 的 SaaSKit 登录能力，支持 FastAPI、Django 和 Flask，其中本技能默认路径为 FastAPI。它的目标是让智能体自动完成登录、回调、会话 Cookie、登出与刷新这一整套流程：注册 GET /login、GET /callback、GET /logout 路由，使用加密的 sk_session Cookie 保存会话，并在受保护路由上通过依赖注入校验与刷新令牌。适用场景是用户希望在自己的 Python 服务中快速加入 SaaSKit 登录，而不必手写认证路由或处理 Cookie 细节。使用前需准备 SCALEKIT_ENVIRONMENT_URL、SCALEKIT_CLIENT_ID、SCALEKIT_CLIENT_SECRET、SCALEKIT_REDIRECT_URI 四个环境变量以及 COOKIE_ENCRYPTION_SECRET。使用中需遵循若干约束：重定向 URI 在环境变量、控制台与运行端口之间必须保持一致，必须调用 auth.install(app)，本地 HTTP 需将 cookie_secure 设为 False 而生产环境设为 True，returnTo 仅接受相对路径。
implement-sso
Scalekit 的 implement-sso 技能用于为已有用户与会话体系的应用接入模块化 SSO，支持 SAML/OIDC、IdP 发起的登录和管理员门户。适用于用户提出 SSO、SAML、OIDC、Modular SSO 或 IdP 需求时。
manage-saaskit-sessions
管理 SaaSKit 会话的技能：存储、校验、刷新并撤销会话，用于用户需要会话或刷新、撤销时。默认使用 Node，与 implement-saaskit 共用同一客户端；不负责登录、回调或登出重定向。
migrate-to-saaskit
将现有认证系统迁移到 SaaSKit 的技能：先审计并导出原有用户、组织、角色与 SSO 配置，再导入 SaaSKit，并通过特性开关灰度切换。适用于从 Auth0 或 Clerk 迁移。不负责实现登录、回调与登出。
run-dryrun
run-dryrun 是一个用于在正式上线前对 SaaSKit 认证配置做本地测试的技能。在运行前需确认环境 URL 与客户端 ID，按模式运行 dryrun 命令，浏览器登录后由本地面板显示用户资料与令牌，帮助验证认证是否可用。
npm-package-publishing
用于审计与改进 npm 包发布安全状况的技能：涵盖账号安全、npm 可信发布（OIDC）策略、GitHub 仓库加固、令牌清理与发布工作流规范。基于 e18e 发布指南整理，先检查仓库再给出分级风险与修复建议。
actions-scanner
actions-scanner 是一款针对 GitHub Actions 工作流的安全扫描工具，重点检测 PwnRequest 攻击及相关的 CI/CD 供应链漏洞。它可以扫描单个仓库、GitHub 组织、本地目录或按文件列的多个目标，识别 6 类漏洞：PwnRequest、WorkflowRun、ContextInjection、ArtifactInjection、DispatchCheckout 和 MergedPR。每个发现会按防护等级分类（如 none、label、permission、same_repo、actor、merged），帮助判断可利用程度。工具支持稀疏克隆仅拉取 .github/ 目录以提升效率，可输出 CSV、JSON 或 markdown 报告，并可选调用 AI 代理对发现进行验证。适合安全人员、DevOps 工程师在审计仓库或组织时排查 CI/CD 配置风险。
guardrails-profiler
Guardrails Profiler 用于对代码库做技术栈画像，生成 .guardrails/profile.json 护栏配置，并将检测结果与默认护栏包上传到 SecurityReview.ai，服务于具备安全意识的 AI 代码生成。资料未提供安装命令与价格信息。
review-and-iterate
针对 Solana 项目代码的结构化审查技能，检查安全漏洞、代码质量、计算优化与生产就绪度，输出含评分与具体修复建议的可执行报告。
waba-embedded-signup
用于将 WhatsApp Business Account（WABA）与电话号码连接至 Sent Sender Profile 的技能，涵盖嵌入式注册规划、WABA 与号码映射、令牌与安全、Webhook 验证及故障排查流程。
waba-template-author
用于撰写、分类和修订 WhatsApp 模板的 Sent 技能，覆盖 utility、marketing、authentication 三类决策，处理变量示例、组件结构与提交审核风险，并可对接 Sent /v3/templates 接口管理模板生命周期。
tm7-threat-model
该技能用于生成可被 Microsoft Threat Modeling Tool v7.3+ 正常打开的 .tm7 威胁模型文件，把系统组件、数据存储、外部角色、数据流和信任边界转换为图形与 STRIDE 威胁，并以 WCF DataContractSerializer 的精确格式序列化。
serverpod-auth-module
Serverpod 认证模块（serverpod_auth_idp）是 Serverpod 3 提供的身份认证方案，包含令牌管理器（JWT、服务端会话）与多种身份提供方（Email、Google、Apple、GitHub、Facebook、Microsoft、Passkey、Firebase、Anonymous）。它通过服务端依赖、端点类、initializeAuthServices 初始化、数据库迁移和 Flutter 登录界面等步骤，为 Serverpod 后端与 Flutter 客户端接入认证能力。新项目默认安装 Email 身份提供方，所有包需使用同一固定版本。
security-review
Security Review 是一个面向授权应用的安全审查技能，用于对代码、配置、设计或制品进行具体的安全检查，覆盖授权、数据暴露、注入、密钥、依赖以及 LLM/工具等风险面。它提供结构化的审查方法与覆盖范围判定的思路：先定位敏感资产、调用方或输入与所需权限，再追溯实际执行权限控制的主体，避免把界面可见性或调用方自身的检查误当作服务端授权。技能强调标记缺失证据，区分已确认发现、可选加固与未解决问题，并在授权范围内验证修复是否真正关闭了未授权路径、同时保留合法访问。依赖与安全公告类结论可转用 Research 获取最新证据。
security-review
Security Review 是一个面向授权应用的安全审查技能，来源为 sgaabdu4/building-flutter-apps。它的用途是对授权的应用代码、配置、设计或制品进行具体审查，覆盖授权、数据暴露、注入、密钥、依赖以及 LLM/工具等方向。该技能强调以“审查方法”为基础，在需要最新依赖或安全公告证据时调用 Research。它明确区分审查与修复：审查本身不额外获得修复或实时利用的权限，只能复用已有的修复与测试授权。其方法以“敏感资产 + 调用方/输入 + 所需权限 → 实际执行控制方 → 操作/数据”的追踪链路为核心，并指出界面可见性或调用方自身的检查不能证明服务端授权成立。它还要求核验实际范围内的制品，用类型与位置加暴露路径记录密钥证据并遮蔽取值，同时区分已确认发现、可选加固与未解决问题。依赖方面需结合已解析的锁定文件、镜像、SBOM 或运行时版本与现有扫描和原始公告范围，且确认存在漏洞版本不等于已证明可利用。
privacy-review
隐私审查与测试工具：评估应用对个人数据的处理，检查 PII 数据流、追踪清单、同意机制、存储实践与数据泄露风险，并基于浏览器运行时可观察行为给出发现与修复建议。
security-review
security-review 是一款面向应用安全的审查与渗透测试技能，依据 OWASP Top 10、OWASP ASVS、NIST 800-63B、CWE/SANS Top 25 等标准，通过浏览器运行时验证检查 HTTP 安全头、认证与会话、输入校验与注入、访问控制、客户端安全及依赖供应链风险，并输出带证据、CVE 引用和置信度评分的报告与 YAML 回归测试。
security-audit
面向 Web 应用、API 与基础设施的综合性安全审计工作流，涵盖渗透测试、漏洞扫描、Web 与 API 安全测试、安全加固及报告输出，按侦察到报告的分阶段流程组织，需在具备授权与明确范围的前提下使用。
admin-access-register
Admin Access Register 是一个用于记录各系统管理员权限归属的技能：为每个系统记录主管理员与备用管理员、管理员人数、套餐、席位、续费日期、是否共享登录、是否启用双因素认证以及访问审查日期等。默认只输出简短建议，不生成表格；当用户明确要求时，才基于同一份字段清单生成 CSV、SQL DDL、JSON Schema 或 Notion 属性映射，避免各格式之间字段漂移。它属于“保护”层，适合成长阶段使用，可用于系统访问审查、特权账户清单和季度访问审查等场景。该技能不计算工资、不处理报税、不提供法律建议，不授予、变更或撤销任何系统权限，也不提供自动化、提醒或同步；默认生成空模板，示例行仅为文档演示。
darkmoon-pentest
Darkmoon Pentest 技能用于通过 @darkmoon_ai/mcp-server MCP 服务器，对自托管的 Darkmoon Pro 实例发起、跟踪和分诊经授权的自主 AI 渗透测试运行。它提供 run_pentest、get_run_status、list_campaigns、get_findings 四个 MCP 工具，分别用于启动测试、查看状态、列出行动和读取发现。使用前必须确认目标与书面授权，凭据从环境变量读取，不得出现在对话中。该技能仅限授权安全评估、防御性验证或受控教学环境，不能替代正式授权协议、环境验证和人工专家复核，且必须依赖 Darkmoon Pro 实例，开源 CLI 单独无法配合此 MCP 服务器使用。