security-symfony
该技能名为 security-symfony，来自 thebeardedbearsas/claude-craft，用于在审查安全性、实现认证或加固代码时提供安全与 RGPD（欧盟通用数据保护条例）相关的指南与最佳实践，面向 Atoll Tourisme 场景。资料未提供具体功能细节、安装命令、收费方式或平台信息，详细文档指向仓库内的 ../../rules/11-security-symfony.md。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-18 00:12
安全与审计
7,189 个结果
security-headers
security-headers 是一个用于配置 HTTP 安全响应头的技能，旨在防御点击劫持、XSS 放大、MIME 类型混淆和 SSL 剥离等攻击。它通过 Next.js 的 middleware.ts 在每次请求时自动应用安全头，包括 Content-Security-Policy（CSP）、X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security（仅生产环境）以及针对受保护路由的 X-Robots-Tag。CSP 支持基于环境变量动态构建，便于适配 Clerk、Convex、Stripe 等第三方服务。该技能适合需要为 Web 应用加固浏览器安全策略的开发者，并提供了 curl 与在线工具（securityheaders.com、Mozilla Observatory、SSL Labs）的测试方法。
kali-docker-pentesting
kali-docker-pentesting 是一个基于 Kali Linux Docker 容器的渗透测试技能，提供对 200 多个安全工具的直接访问，无需 MCP 服务器开销。它通过 bash_tool 直接执行命令，据称比 MCP 方式节省约 70% 的 token。该技能使用名为 kali-comprehensive:latest 的镜像和名为 kali-pentest 的长期运行容器，支持容器管理、工具更新与回滚，并覆盖网络扫描、Web 应用测试、密码攻击、无线安全、信息收集、漏洞利用、取证分析和逆向工程等场景。
k8s-security-policies
该技能是一份面向 Kubernetes 集群安全策略的综合指南，覆盖 NetworkPolicy、PodSecurityPolicy、RBAC 以及 Pod Security Standards 的实现。它提供命名空间级 Pod 安全标准（privileged、baseline、restricted）的标签配置示例，网络策略的默认拒绝、前后端放行与 DNS 放行示例，RBAC 的 Role、ClusterRole 与 RoleBinding 配置，受限 Pod 的 securityContext 设置，以及基于 OPA Gatekeeper 的准入控制、Istio 服务网格 mTLS 与授权策略示例。同时给出最佳实践、CIS 与 NIST 合规框架要点和常见故障排查命令。适用于网络分段、最小权限访问、合规策略、多租户集群加固等场景。
building-c2-infrastructure-with-sliver-framework
本技能介绍如何使用 BishopFox 开发的开源对手仿真框架 Sliver（Go 语言编写）部署并加固 C2 团队服务器。内容涵盖在云 VPS 上部署团队服务器、系统加固、配置 HTTPS/mTLS/DNS/WireGuard 多协议监听器、部署 NGINX 重定向器与 Cloudflare 域前置、生成植入体（beacon 与 session）、配置多操作员证书认证，以及进程枚举、.NET 程序集执行、DLL 侧加载、BOF 内存执行与内网跳板等后渗透操作。文档还给出 MITRE ATT&CK 技术映射、检测特征与验证清单。
stride-analysis-patterns
该技能用于按 STRIDE 方法论系统化识别威胁，适合开展威胁建模、分析系统架构、评审安全设计、编写威胁文档、团队培训及合规审计准备。不适用于与 STRIDE 分析无关的任务。
security-ownership-map
Security Ownership Map 是一个用于分析 git 仓库的安全归属工具。它基于 git 历史构建“人—文件”二部图，计算巴士因子（bus factor）与敏感代码归属，并可导出 CSV/JSON 供 Neo4j、Gephi 等可视化。工具还能基于共享提交的 Jaccard 相似度构建文件共变图，把经常一起变更的文件聚类。使用需要 Python 3 和 networkx 库，通过 pip install networkx 安装。它仅做分析输出，不修改代码；具体收费、平台支持等信息暂未提供。
senior-security
Senior Security 是一个面向应用层安全的技能，提供 STRIDE 威胁建模、DREAD 风险评分、安全架构设计、安全代码审查、漏洞评估、事件响应规划、合规映射以及硬编码密钥检测。它包含 threat_modeler.py 和 secret_scanner.py 两个脚本，分别用于生成威胁模型和扫描 20 多种凭据模式。适用于在部署前审查代码、设计纵深防御或零信任架构、扫描代码库中的密钥、运行漏洞评估或规划事件响应。该技能聚焦应用层安全，不覆盖基础设施与云安全加固、运行时安全监控、完整合规审计认证以及网络渗透测试与红队操作。
security-check
security-check 是一套由 AI 驱动的综合安全扫描技能套件，包含 51 项技能，覆盖 OWASP Top 10 以及 7 种语言专属深度扫描器（Go、TypeScript、Python、PHP、Rust、Java、C#）。它通过自然语言将 AI 编码助手转变为安全扫描团队，运行“侦察 → 猎取 → 验证 → 报告”四阶段流水线，无需二进制文件、依赖或 CI 流水线改动。安装后可用“run security check”执行完整审计、“scan diff”执行 PR/差异级增量扫描。套件还提供 10 份安全检查清单（3000+ 条目），每个语言扫描器含 400+ 条带 CWE 引用的清单。扫描后生成 security-report/ 目录，包含最终报告、架构图、依赖审计、验证后发现、覆盖台账和 findings.json。
security-flutter
security-flutter 是一个面向 Flutter 开发的安全技能，来源于 thebeardedbearsas/claude-craft。根据其简介，该技能适用于三类场景：审查代码安全性、实现认证功能，以及对代码进行安全加固。技能本身提供安全相关的指南与最佳实践，详细文档指向同仓库中的 ../../rules/11-security-flutter.md 文件。除上述信息外，资料未提供具体的安全规则条目、支持的平台版本、安装命令、使用步骤、收费方式或实际效果说明。
vetkd
vetKD（可验证加密门限密钥派生）是互联网计算机（IC）的一项链上隐私能力，通过门限协议按需派生密钥，使公链能够安全地持有和使用秘密数据。其密钥具备可验证、加密传输和门限三个特性：用户可校验密钥正确性，派生密钥在客户端提供的传输公钥下加密，任何节点或容器都无法看到原始密钥，且由子网节点群体协作派生，无单一主体掌握主密钥。容器向子网门限基础设施请求派生密钥，收到的是用客户端传输公钥加密的结果，只有客户端能在本地解密。该能力可用于去中心化密钥管理、链上加密存储、私密消息、基于身份的加密（IBE）、时间锁加密、门限 BLS 和可验证随机数等场景。资料提供了 Rust（ic-vetkeys 0.6）、Motoko（直接调用管理容器）和前端（@dfinity/vetkeys 0.4.0）的接入方式，以及 vetkd_public_key 与 vetkd_derive_key 两个系统 API 的 Candid 定义、主密钥名称（test_key_1、key_1）与周期费用说明。
security-architecture-overview
Secure Vibe Coding OS 的安全架构总览技能，用于理解该 Next.js 15.5.4 SaaS 起步模板的纵深防御安全体系。项目宣称安全审计 0 漏洞、OWASP 评分 90/100。架构包含 5 层安全栈：中间件安全响应头、速率限制、CSRF 防护、输入校验、业务逻辑与安全错误处理，并遵循纵深防御、失败即拒绝、最小权限、安全默认实现等原则。技能还提供各安全子技能的选用指引、完整安全 API 路由模板、常见反模式示例，以及 AI 生成代码漏洞的统计与分类说明。
building-threat-actor-profile-from-osint
该技能用于通过开源情报（OSINT）构建威胁行为者画像。它系统性地从安全厂商报告、粘贴站点、暗网论坛、社交媒体和代码仓库等公开来源收集信息，跨平台关联指标，并借助 Maltego、SpiderFoot 等工具映射对手基础设施，最终产出结构化的威胁行为者档案，用于支撑防御策略与归因评估。技能涵盖 OSINT 采集、STIX 2.1 结构化建模、MITRE ATT&CK 战术技术映射、基础设施关联以及档案生成等环节，适用于安全评估、威胁狩猎与检测工程等场景。
File Path Traversal Testing
该技能用于识别和利用文件路径遍历（目录遍历）漏洞，帮助测试者通过用户可控输入读取服务器上的任意文件，可能包括敏感配置文件、凭据和源代码。技能覆盖漏洞原理、遍历点识别、基础利用、绕过技巧、Linux 与 Windows 高价值目标文件、自动化测试、LFI 到 RCE 的升级利用、结构化测试方法以及安全编码防护建议。适用于 Web 应用安全测试与渗透测试场景，需在授权范围内使用。
building-vulnerability-dashboard-with-defectdojo
本技能介绍如何将 DefectDojo 部署为集中式漏洞管理看板。DefectDojo 是一款开源的应用漏洞管理平台，可聚合来自 200 多个安全扫描器的发现结果，对结果进行去重，跟踪修复进度，并提供面向管理层的看板。它可作为漏洞管理的中心枢纽，支持与 CI/CD 流水线、Jira 工单系统和 Slack 通知集成，支持基于 OWASP 的分类，并提供 REST API 用于自动化。内容涵盖环境准备、Docker Compose 部署、组织结构建模、扫描器集成、CI/CD 集成、Jira 集成以及指标与看板查询等环节，并给出对应的部署命令、环境变量和 API 调用示例。
alibabacloud-sas-alert-handler
阿里云安全中心（SAS）CWPP 主机安全告警处理技能，用于查询、分析和处置来自云安全中心的告警。该技能通过阿里云 CLI 与安全中心 API 交互，支持查询告警列表、分析告警详情并给出处置建议、执行处置操作（如忽略、加白名单、封禁、隔离等），以及查询处置状态并汇总结果。技能运行需要阿里云 CLI（>= 3.3.3）、开启 AI 模式并配置 RAM 权限，涉及 DescribeSuspEvents、DescribeSecurityEventOperations、HandleSecurityEvents、DescribeSecurityEventOperationStatus 等接口，遵循“先查询后处置”、单告警单独查询可用操作、批量上限 20 条、处置前需用户确认等最佳实践。
veil
Veil 是一个在 Base 网络上提供隐私与屏蔽交易的技能，通过封装 @veil-cash/sdk CLI，让智能体能够方便地执行 Veil Cash（veil.cash）相关操作。用户可以将 ETH 或 USDC 存入隐私池，并借助零知识证明进行私密提现或转账。该技能支持本地生成和存储 Veil 密钥对、检查配置与中继健康状态、查询隐私池余额（队列与私有余额），并可通过 Bankr 构建未签名交易完成存款（USDC 会自动处理 ERC20 授权）。私密操作如提现、转账和合并 UTXO 均在本地使用 VEIL_KEY 执行。使用前需安装 SDK、配置 Base RPC、生成密钥对并检查状态。适用于需要在 Base 上进行隐私资产管理的场景。
spring-security
该技能为 Spring Security 提供全面指导，覆盖认证、授权、OAuth2、JWT 与安全最佳实践。适用于用户在 Spring 应用中配置认证、授权、会话与安全头，或集成 OAuth2、JWT、方法安全与 CSRF 的场景。技能内容涉及 SecurityFilterChain、UserDetailsService、PasswordEncoder 的配置，以及登录/登出与异常处理；进阶部分包含 JWT、OAuth2 客户端/资源服务器、@PreAuthorize 与 CORS。最佳实践方面强调密码加密、会话与 Cookie 安全、最小权限与角色设计，并建议生产环境使用 HTTPS 与安全头、保护敏感路径。
security-testing-verification
该技能（Security Testing & Verification）用于在部署前测试安全功能并验证实现，涵盖速率限制、CSRF 防护、输入校验、安全响应头、身份认证与授权、错误处理、依赖安全等测试方法。它同时提供手动测试命令、自动化测试脚本和部署前安全检查清单。
k8s-security-policies
该技能提供 Kubernetes 安全策略的完整实施指南，涵盖 NetworkPolicy 网络策略、PodSecurityPolicy、RBAC 权限控制以及 Pod Security Standards（Pod 安全标准）。适用于网络分段、Pod 安全标准配置、最小权限 RBAC 设置、合规安全策略创建、准入控制以及多租户集群安全等场景。内容包含命名空间安全标签、默认拒绝与定向放行的网络策略、Role/ClusterRole/RoleBinding 配置、受限 Pod 安全上下文、OPA Gatekeeper 策略强制、Istio 服务网格 mTLS 与授权策略，并附最佳实践、合规框架与故障排查方法。
fl-studio-patcher-malware-warning
针对伪装成 FL Studio 破解/补丁程序的恶意软件的安全警告。该技能用于提醒用户与 AI 代理拒绝下载、运行或推荐此类项目，并说明其风险与合法替代方案。
didit-phone-verification
Didit 手机号验证独立 API 的中文说明，介绍发送验证码、校验验证码与免验证码风险评分三个端点，以及频次限制、计费方式、沙箱与鉴权等要点。
audit-integrity
Audit Integrity 是一个用于安全审计与代码审查的技能，旨在强制保证输出质量、证据验证与质量门禁。它适用于执行 SAST、SCA、威胁建模或质量审计等场景，要求每一项发现都必须有经过验证的代码证据与污点流，防止安全发现被压制或合理化。该技能包含 7 个模块化能力：澄清协议（范围不清时最多提 2 个针对性问题）、反合理化守卫（禁止的合理化理由与强制回应）、自我批判循环（强制二次检查以验证证据与覆盖范围）、重试协议（工具失败或搜索为空时重试一次并记录）、不可协商行为（不得编造、须引用证据、报告缺口）、自我反思质量门（1–10 分评分，最低阈值 8 分）、自学习系统（经验教训与安全记忆的模板与规则）。执行流程按阶段加载参考文件：分析前澄清范围，分析中遵循不可协商行为并参考反合理化守卫，工具失败时按重试协议处理，初次分析后完成二次检查，交付前对草稿报告评分且所有类别须≥8，最终交付时记录经验与记忆。
fusionauth-webhooks
FusionAuth Webhooks 是一个用于接收和验证 FusionAuth 认证平台 Webhook 的技能。FusionAuth 通过 X-FusionAuth-Signature-JWT 请求头发送以 JWT 形式签名的 Webhook，JWT 中包含 request_body_sha256 声明，即请求体的 SHA-256 哈希值。该技能提供 JavaScript（Express、Next.js）和 Python（FastAPI）的签名验证与事件处理示例代码，涵盖 JWT 签名校验、请求体哈希比对、按事件类型分发处理等环节。适用于搭建 FusionAuth Webhook 处理程序、调试 JWT 签名验证失败、理解 FusionAuth 事件类型与载荷，以及处理用户、登录、注册或分组事件等场景。