@1247/orderly-api-authentication
Orderly Network API 认证指南，覆盖 EVM 钱包的 EIP-712 签名与 Solana 钱包的 Ed25519 消息签名，用于账户注册、API 密钥管理，以及用 Ed25519 密钥对签名交易类 API 请求。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-29 00:09
安全与审计
7,633 个结果
wallet-policy
根据自然语言生成 Privy 钱包安全策略规则，支持 EVM 与 Solana，生成的规则须经 wallet_propose_policy 工具提交用户审核并签名后生效。
gws-shared
gws CLI 的共享参考技能，说明在无头、代理认证环境中使用 gws 命令的统一约定：必须用 --email=<地址> 指定操作用户，由代理透明换取 OAuth 令牌，并介绍全局标志、输出格式与命令语法。
sumsub-analyze-regulation
该技能用于读取监管法规文档（PDF 或文本），产出一份结构化的 Sumsub 配置方案。它把法规中的各项要求逐一映射到可满足这些要求的 Sumsub 实体（如验证级别、问卷、地址证明预设、AML 分流规则、工作流等），并明确区分哪些可通过技能立即配置完成，哪些必须通过 Sumsub Dashboard 手动操作。需要特别说明的是，这是一个纯规划类技能，只输出文字描述，不会生成 JSON 载荷，也不会发起任何 API 调用。适用对象通常是需要依据特定司法管辖区法规搭建或调整合规验证流程的团队，尤其是加密交易所、新型银行、iGaming、金融科技等受监管行业。使用流程上，技能会先收集上下文信息（司法管辖区、业务类型、客户类型、已有配置），再进行需求分析，随后给出“我的理解”摘要并等待用户确认，确认后才生成完整方案。
sumsub-api-auth
用于调用 Sumsub API 的认证技能：通过 App Token 与 secret key 生成 HMAC-SHA256 签名请求。指导使用沙箱令牌、设置三个必要请求头、构造签名串，并排查 401 无效签名等问题。
sumsub-api-generic
Sumsub API 通用兜底技能，用于处理任何不匹配更具体技能（如 create-sumsub-level、sumsub-create-questionnaire 等）的 Sumsub API 任务。Sumsub API 约有 130 个端点，OpenAPI 3.0.1 架构文档是唯一的事实来源。该技能提供一套工作流程：先获取并缓存 OpenAPI schema，使用脚本搜索端点，查看端点的完整请求与响应结构，构造请求体，再通过签名脚本发送请求并校验结果。认证沿用仓库统一的 App Token 加密钥流程，仅使用沙箱令牌，脚本会拒绝不以 sbx: 开头的令牌，并要求拒绝生产凭证。适用于查询申请人审核状态、列出问卷、生成 SDK 访问令牌、标记申请人状态、拉取 AML 命中记录等通用场景，前提是这些需求无法由更专门的技能覆盖。
sumsub-check-permissions
Sumsub 权限检查技能，用于在调用 Sumsub 公共 API 前获取当前租户已开通的权益（entitlements）。脚本会读取环境变量 SUMSUB_APP_TOKEN（沙箱 App Token）、SUMSUB_SECRET_KEY 以及可选的 SUMSUB_BASE，按 Sumsub 认证规范对每个请求进行签名，并将原始响应体与 HTTP 状态码一并输出。成功时返回 {"allowedChecks":{key:label}}，即权限键到可读标签的映射，键即为该租户已启用的权益。调用方应据此在写入前进行功能门控：若 HTTP 状态非 200 应立即停止并把错误体展示给用户；若所需的 BackgroundCheckTarget 键不在 allowedChecks 中，则不应构建或提交请求，而应告知用户缺少哪项权益并建议联系 CSM 或 Sumsub 支持开通。该技能仅支持沙箱令牌，明确禁止使用生产 App Token，若用户提供生产令牌应拒绝并提示其在仪表盘生成沙箱令牌对；辅助脚本会拒绝不以 sbx: 开头的令牌。
sumsub-create-cross-check-preset
该技能用于通过 Sumsub 公开 API 创建或更新工作区级的交叉核对预设（cross-check preset），控制身份证件（POI）与地址证明（POA）文档中姓名和地址字段的比较规则。它只支持 basic 模式，可通过 nameComparisonMode（strict、weakContainment、def、ai）、addressComparisonMode（strict、fuzzy）以及忽略中间名不匹配、忽略用户填写信息不匹配等开关进行配置。预设通过 POST /resources/api/agent/crossCheckPresets 创建（请求体不得含 id），通过 PATCH 同路径更新（请求体必须含 id），并可用 GET 读取单个预设核验结果。所有请求需要 manageClientSettings 权限，并使用沙箱（sandbox）App Token 与密钥签名，脚本会拒绝不以 sbx: 开头的令牌。官方建议大多数客户保留默认预设以获得最佳通过率；仅当用户有明确、具体的比较规则调整需求时才进行覆盖。advanced 模式不支持 API 管理（POST 返回 403），只能在仪表盘操作。
sumsub-create-poa-preset
Sumsub Proof-of-Address（POA，地址证明）预设的创建与更新工具。它把用户以自然语言描述的地址证明规则（接受的证件类型、有效期等）翻译成紧凑规格，生成完整的 POA 预设 JSON 载荷，通过 Sumsub 公开 API 创建或更新预设，并返回预设 id，供后续绑定到一个或多个验证等级（level）的地址证明文档集上。支持 POST 新建、PATCH 更新、GET 读取校验，并生成 Sandbox 仪表盘链接。需具备 manageClientSettings 权限，仅使用沙箱 App Token 与密钥。
sumsub-create-transaction
该技能用于向 Sumsub 交易监控（KYT）系统提交交易数据。它根据精简规格（compact spec）构建 KytTxnData JSON 载荷，通过 ApplicantResource API 的 KYT 端点 POST 提交，并返回服务端生成的 txnId、评分（score）和审核结果（reviewAnswer）。支持两种路由：申请人已存在时提交到 /resources/applicants/{applicantId}/kyt/txns/-/data；申请人不存在时提交到带 ?levelName= 的端点，由 Sumsub 根据 externalUserId 自动创建申请人。交易类型覆盖 finance、travelRule、kyc、userPlatformEvent、iGamingSession 等，支持法币与加密货币方向、交易对手方、支付方式、设备信息及自定义属性。认证使用 App Token 加签名密钥，脚本强制要求沙盒（sbx:）Token，拒绝生产 Token。成功后输出仪表盘链接，失败时报告 HTTP 状态与错误名。
sumsub-integrate-websdk
该技能提供了一套端到端的操作指南，用于通过 Sumsub WebSDK 将 KYC（了解你的客户）身份验证流程嵌入网站或 Web 应用。整个流程覆盖从创建工作区中的验证级别（level）、在后端生成 HMAC 签名的访问令牌、在前端初始化并启动 SDK、处理客户端生命周期事件，一直到接收服务端 webhook 通知（尤其是 applicantReviewed 事件）并据此控制用户访问权限的完整生命周期。技能强调了两条关键原则：一是浏览器端事件仅用于改善用户体验（如隐藏加载遮罩、显示等待状态），不能作为权限判定的依据，因为其可被伪造；二是必须将服务端 webhook 或通过 API 主动查询的结果作为验证通过与否的权威信号。文档还明确要求在集成阶段使用沙盒（sandbox）令牌，禁止使用生产令牌，并提供了 curl 签名示例、原生 JavaScript 与 React 组件的代码范例，以及本地使用 ngrok 进行 webhook 联调的方法。
sumsub-manage-webhooks
Sumsub 客户端 Webhook 管理技能，用于管理 Sumsub 的 clientWebhooks 事件订阅（如 applicantReviewed、applicantPending、kytTxn 等）。读取操作使用 /resources/api/clientWebhooks 端点，写入操作使用 /resources/api/agent/clientWebhooks 端点。支持列出、读取、创建和更新 ClientWebhook 事件订阅，需要 manageClientSettings 权限。仅支持沙箱（sandbox）App Token，不接受生产环境凭证。该技能提供 manage_webhooks.sh 编排脚本，支持 list、get、create、update 子命令。缺少 DELETE 和 /stats 端点，删除 Webhook 或查看投递统计需使用 Sumsub 仪表板。创建和更新使用紧凑规格（compact spec），由 build_webhook_payload.py 扩展为完整载荷。目标 URL 必须可从公网访问，不接受 localhost 类地址。生产环境 Webhook 需由人工在 Sumsub 仪表板配置。
ci-cd-security
这是一个将模型变为 GitHub Actions 工作流 YAML 安全扫描器的技能。它无需安装任何外部工具或运行命令，仅通过阅读工作流文件并套用检测规则，即可报告安全发现，给出严重级别与具体改写建议。检测规则综合了 Astral、OpenSSF、GitHub Security Lab、Chainguard 及 zizmor 审计集的共识，目标是不运行这些工具也能标记出同类风险模式。核心心智模型是：每个工作流都落在“特权 vs 非特权”与“可信代码 vs 不可信代码”的 2x2 矩阵中，只有“特权工作流运行不可信代码”这一格会导致沦陷。它会依次扫描危险触发器（如 pull_request_target、workflow_run）、权限配置、Action 固定方式、Shell 模板注入、不可信检出、特权上下文中的缓存、制品注入、发布加固以及自托管运行器等方面，按 P0 至 P3 分级输出发现并附修复示例。
skill-security
用于在安装或信任 AI 智能体技能前进行安全审计的技能。它先用确定性扫描器（正则、Python AST、污点追踪、YARA 等）检测风险并给出 0-100 风险分，再由你阅读内容做语义判断，最终给出是否可安装的结论。
roblox-networking
这是一个关于 Roblox 网络通信安全与远程事件开发的技能指南，主要用于添加、修改或审计 RemoteEvents/RemoteFunctions。内容聚焦于客户端参数校验、速率限制、服务端权威模型以及漏洞利用防护。它强调所有客户端参数都应视为攻击者可控数据，必须在服务端对类型、大小、归属、状态、距离和冷却进行校验；价格、伤害、奖励和权限应从服务端定义中读取。资料还涉及权威模型选择（服务端权威使用客户端预测加服务端回滚，并非 SetNetworkOwner）、模拟输入使用 InputAction/BindToSimulation() 与 UseFixedSimulation 而非远程事件、可靠状态使用 RemoteEvent、可替换数据使用 UnreliableRemoteEvent（上限约 1000 字节）、引擎层每个远程类型约 500 次 FireServer 请求/秒/客户端的上限、负载与触发频率预算、快照与差异同步、时间戳不可信、NaN/ infinity 与 UTF-8 边界检查、序列化行为限制（函数变为 nil、元表被剥离、混合键被篡改、nil 截断表、表为副本）以及速率限制和 Bindables 的同侧特性。适用场景为 Roblox 游戏中涉及远程通信与安全审计的开发工作。限制方面，资料未提供收费、价格、平台或具体安装命令等信息。
roblox-security
用于审计与加固 Roblox 代码以抵御作弊的技能：覆盖权威模型、远程事件、经济系统、购买与 DataStore 流程。资料提供审计清单与反模式，未提供代码示例或安装命令。
router-core/auth-and-guards
TanStack Router 路由鉴权技能，讲解用 beforeLoad、redirect() 与无路径布局路由 _authenticated 保护页面，包含重定向回跳、内联登录、RBAC 角色与权限校验、isRedirect 处理及常见错误。
start-core/auth-server-primitives
TanStack Start 服务端认证原语技能：覆盖会话 Cookie（HttpOnly、Secure、SameSite、__Host- 前缀）、会话读取/签发/销毁、OAuth 的 state 与 PKCE、密码重置防枚举、CSRF 与限流，强调在服务端函数内强制鉴权。
auth-wechat-miniprogram
腾讯 CloudBase 微信小程序原生认证技能指南，用于处理小程序身份识别、OPENID/UNIONID 获取，以及云函数中调用者身份的自动注入与验证，帮助在小程序内实现免显式登录的身份感知流程。
tigris-security-access-control
用于配置 Tigris 对象存储的安全与访问控制，涵盖访问密钥生命周期、角色授权、CORS 规则、桶可见性与预签名 URL 安全，并含密钥轮换、审计与泄露应急处理。
aflpp
AFL++ 是 AFL 模糊测试器的增强分支，用于对 C/C++ 项目进行多核模糊测试。它提供更优的性能、多样化的变异策略和成熟工具链，支持持久化与并行测试。可通过源码、APT 或 Docker 安装，需用 afl-clang-fast 等编译器插桩。
algorand-vulnerability-scanner
该技能用于系统化扫描 Algorand 智能合约（TEAL 与 PyTeal）中的平台特定安全漏洞。它基于 Trail of Bits 的「Not So Smart Contracts」数据库，内置 11 种针对 Algorand 交易模型的关键漏洞模式，包括重密钥攻击（Rekeying Attack）、未检查的交易手续费、缺失字段校验、访问控制缺陷等。技能会自动在代码库中查找 TEAL/PyTeal 文件，逐一分析这 11 种模式，并支持调用 Tealer 静态分析器进行自动化检测。输出报告包含覆盖表（对全部 11 种模式逐一给出 found、clear 或 n/a 的裁决及证据）与详细发现，每条发现包含严重程度、位置、漏洞代码、攻击场景、修复建议和参考链接。适用于 Algorand 合约审计、上链前安全评估、修复验证及团队安全培训。
cairo-vulnerability-scanner
Cairo/StarkNet 智能合约安全扫描技能，系统检查 felt252 算术溢出、L1-L2 消息失败、地址转换、签名重放及 L1 handler 的 from_address 校验等 6 类平台特有漏洞，可结合 Caracal 静态分析器使用。
code-maturity-assessor
基于Trail of Bits九大类框架对代码库进行系统化成熟度评估的技能，按发现、分析、报告三阶段执行，给出有证据支撑的评级与改进路线图。