agent-v3-security-architect
v3-security-architect 是 ruflo 中的安全架构智能体技能，负责 v3 全面安全整改、威胁建模与 CVE 修复规划，通过 $agent-v3-security-architect 调用，覆盖依赖漏洞、密码哈希、硬编码凭证、命令注入与路径穿越等关键问题。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-29 00:09
安全与审计
7,630 个结果
security-audit
安全审计 Skill：对代码库做综合安全扫描与漏洞检测，覆盖输入校验、路径遍历防护、CVE 检测与安全编码模式检查，可在认证、授权、支付、用户数据处理、API、文件上传、数据库查询及外部 API 集成等场景触发。
V3 Security Overhaul
面向 claude-flow v3 的安全架构整改技能，用于修复 CVE-1、CVE-2、CVE-3 等严重漏洞并落地默认安全模式，涵盖依赖更新、密码哈希、凭据管理、输入校验与路径净化等实践。
cybersecurity-analyst
cybersecurity-analyst 是一款网络安全分析技能，用威胁建模、攻击面分析、纵深防御、零信任架构与风险框架从安全视角分析事件。资料介绍其用途、适用场景、核心安全理念、理论基础、分析框架与常用方法。
snyk-agent-scan-compliance
面向 snyk-agent-scan（智能体技能文件扫描器）的合规修复技能，专注处理 W001、W011、W012 三类高危告警，通过重构内容而非屏蔽或删除信息来消除告警，提供运行方式、逐类修复规则、修复顺序与误报判断标准。
event-vendor-sourcing
面向技术活动组织者的供应商寻源与合同顾问技能，用于寻找、筛选并签约场馆不包含的供应商，涵盖餐饮、AV与制作、安保、保险经纪、周边与印刷。强调用同一份书面简报获取报价、比较全包总价、审阅合同与保险条款，并明确不提供价格基准。
event-vip-management
面向活动组织者的 VIP 嘉宾管理技能：识别既非演讲者、也非赞助商，但其到场会带来陪同、礼宾、安保或保密义务的具名嘉宾，并在不制造可见等级的前提下完成接待。
oauth2-provider-design
OAuth2 Provider Design 是一套面向 B2B SaaS 平台与 API 团队的决策指导技能，用于设计平台向第三方应用开放的 OAuth2 授权服务器接口。它覆盖协议基线、令牌生命周期、权限范围分类、同意页面、应用注册与验证等层面，目标是在应用被攻破或令牌泄露时把事件控制在有限范围内，避免日后被迫进行大规模改造。该技能强调 OAuth 2.1 目标配置：所有客户端强制使用带 PKCE 的 authorization_code、client_credentials、refresh_token 与 device_authorization，不实现 implicit 或密码授权；重定向 URI 精确匹配；授权码单次使用且最长 10 分钟；访问令牌默认约 1 小时；刷新令牌默认采用轮换加令牌族重用检测，并设置约 10-30 秒的宽限窗口。它区分 B2C 与 B2B 场景下的同意拓扑，要求把管理员审批、组织级授权与应用身份权限层级作为一等设计对象。权限范围默认采用 resource:action 命名、读写拆分与只读默认，并只允许增量扩展、不可重新定义既有范围含义。注册默认采用人工审核的开发者门户模式，验证层级默认对每个上架应用做发布者身份验证，仅在权限触及他人数据或 PII 时要求第三方安全评估。资料对部分价格、具体阈值等细节标注需在实现时复核。
stride-threat-modeling
STRIDE 威胁建模技能：以结构化工作坊形式对系统建模，逐元素枚举 STRIDE 威胁、排序风险并将缓解措施落到待办事项中。
code-security
一个面向安全编码的技能，提供覆盖 15 种以上语言的安全规则。可在编写或审查代码时主动检查漏洞，也可按用户问题查阅对应规则，涵盖 OWASP Top 10、SQL 注入、XSS、命令注入、SSRF、基础设施安全等 28 类规则。
semgrep
Semgrep 是基于模式的快速静态分析工具，用于安全扫描与自定义检测规则编写。支持 CLI 与 MCP 工具，可运行内置或自定义 YAML 规则，检测漏洞、编码规范问题，并支持 taint 模式数据流分析与 CI/CD 集成。
waba-template-author
用于编写、分类、校验和修复 WhatsApp 模板的 Sent 技能，按 Sent v3 模板定义契约生成 POST /v3/templates 请求体，评估 WhatsApp 政策风险并解释模板生命周期。
owasp-security-check
OWASP Security Check 是一个用于 Web 应用与 REST API 的安全审计技能，基于 OWASP Top 10 与 Web 安全最佳实践。它包含 5 个类别共 20 条规则，覆盖认证与授权、数据保护、输入输出安全、配置与响应头、API 与监控等方向。该技能适用于审查代码库中的安全漏洞、检查用户提供的文件或文件夹、审查认证与授权实现、评估 REST API 安全性、评估数据保护措施、审查配置与部署设置，以及在生产部署前或新增处理敏感数据的功能后进行安全检查。使用时先识别应用类型（Web 应用、REST API、SPA、SSR 或混合），再按 CRITICAL、HIGH、MEDIUM 的优先级进行扫描，按需加载 @rules/ 目录下的具体规则文件，最后按严重级别、类别、文件位置、问题、影响与修复示例的格式生成报告，并给出具体修复代码。
backend-security-coder
后端安全编码技能，专注输入校验、认证与 API 安全，帮助开发者编写防御性后端代码、防止常见漏洞、配置安全头与数据库访问控制。
cc-skill-security-review
这是一个安全审查技能，用于帮助开发者在编写代码时遵循安全最佳实践并识别潜在漏洞。它主要覆盖密钥管理、输入验证、SQL 注入防护、认证与授权、XSS 与 CSRF 防护、限流、敏感数据暴露、区块链（Solana）安全以及依赖安全等主题，并给出正反示例代码、验证清单、自动化安全测试示例和使用限制。适合在实现认证授权、处理用户输入或文件上传、创建 API 端点、处理密钥凭据、实现支付功能、存储或传输敏感数据、集成第三方 API，以及 Solana 钱包签名与交易校验等场景中使用。该技能强调：先阅读详细指南，将其中的安全、前置条件和验证要求视为强制；按需加载相关章节或完整阅读；输出不能替代针对具体环境的验证、测试或专家评审；当缺少必需输入、权限、安全边界或成功标准时应停止并请求澄清。
security-audit
该技能是一套面向 Web 应用、API 与基础设施的综合安全审计工作流，串联侦察、漏洞扫描、Web 与 API 测试、渗透测试、安全加固与报告等阶段，通过引用多个安全相关子技能来组织测试与修复流程。
security-auditor
面向 DevSecOps 的安全审计技能，覆盖应用安全、漏洞管理、认证授权、云安全与合规框架，用于安全审计、威胁建模、风险优先级排序与修复验证。需在获得授权与范围批准后使用，不替代法律意见或正式合规认证。
cc-skill-security-review
该技能用于在编码过程中执行安全审查，确保代码遵循安全最佳实践并识别潜在漏洞。它覆盖密钥管理、输入校验、SQL注入防护、认证与授权、XSS 与 CSRF 防护、速率限制、敏感数据暴露、Solana 区块链交易校验以及依赖安全等主题，并给出正反示例代码与核查清单。适用于实现认证授权、处理用户输入或文件上传、创建 API 端点、使用密钥凭据、实现支付、存储或传输敏感数据、集成第三方 API 等场景。使用时按清单逐项核对，并可编写自动化安全测试与部署前检查。需注意其输出不替代针对具体环境的验证、测试或专家评审；缺少必要输入、权限、安全边界或成功标准时应先澄清。
vulnerability-scanner
面向安全审计的漏洞分析技能，提供 OWASP 2025、供应链安全、攻击面映射与风险优先级原则，并附带可运行的扫描脚本与检查清单，帮助按攻击者视角评估项目安全。
decision-records
用于在代码仓库中起草、晋升、归档和取代 ADR 式决策记录的技能，类型开放（架构、产品、安全、政策、法律等），并维护 INDEX.md 与交叉引用。
integration-privy
在 Solana Expo Android 应用的 Mobile Wallet Adapter 之上接入 Privy 身份认证（Sign-In-With-Solana）：Privy 负责可跨设备的用户身份与后端可验证会话 JWT，钱包仍持有私钥并完成所有签名。
@1247/orderly-api-authentication
Orderly Network API 认证指南，覆盖 EVM 钱包的 EIP-712 签名与 Solana 钱包的 Ed25519 消息签名，用于账户注册、API 密钥管理，以及用 Ed25519 密钥对签名交易类 API 请求。
wallet-policy
根据自然语言生成 Privy 钱包安全策略规则，支持 EVM 与 Solana，生成的规则须经 wallet_propose_policy 工具提交用户审核并签名后生效。
gws-shared
gws CLI 的共享参考技能，说明在无头、代理认证环境中使用 gws 命令的统一约定：必须用 --email=<地址> 指定操作用户，由代理透明换取 OAuth 令牌，并介绍全局标志、输出格式与命令语法。