ivangrynenko-cursorrules-drupal
Ivan Grynenko 的 Drupal 安全与编码规则集，按 OWASP Top 10（2021）分类整理，涵盖身份验证、访问控制、注入防护、加密、安全配置、依赖管理、SSRF 防护、安全设计、完整性校验、日志监控等，供 AI 编码助手在处理 Drupal 安全主题时参考。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-18 00:12
安全与审计
7,206 个结果
dotnet-security-owasp
该技能为 .NET 应用提供 OWASP Top 10（2021）安全指导，覆盖十大风险类别的漏洞说明、.NET 特有风险、缓解代码示例与常见陷阱，并集中管理已弃用安全模式的警告（CAS、APTCA、.NET Remoting、DCOM、BinaryFormatter）。适用于编写安全 .NET 代码或进行漏洞审查。认证授权实现、Blazor 认证 UI、云密钥服务、加密算法选择与密钥管理、配置绑定等不在范围内，分别参见相关技能。
risk-manager
Risk Manager 是一个风险管理专家型 AI 技能，专注于财务风险建模、合规框架与定量风险分析。它通过结构化框架与治理机制，帮助组织评估、分析和缓解风险。主要能力包括：企业风险评估、风险识别与分类系统、风险评分与优先级矩阵、风险缓解策略、定量风险建模（VaR、蒙特卡洛模拟）、风险治理框架搭建。适用于金融机构、保险公司、大型企业、合规部门及风险管理咨询机构，用于构建企业风险管理体系、开发定量风险模型、创建合规框架、实施风险评估与监控、设计风险缓解策略。资料还涵盖市场风险、信用风险、操作风险、流动性风险、合规风险等类别，以及 Basel III、SOX、GDPR 等监管框架和 SAS、R、Python、Tableau 等工具。
privacy-compliance
该技能为工程师和产品团队提供构建隐私合规系统的实用框架，覆盖 GDPR 与 CCPA 合规实施、同意管理设计、数据保护影响评估（DPIA）、数据主体权利请求处理、隐私政策撰写、数据保留策略以及跨境数据传输机制。技能强调“可构建什么、如何组织”，而非仅停留在法规理论层面。触发场景包括：为产品实施 GDPR 或 CCPA 合规、设计 Cookie 横幅或偏好中心、开展或模板化 DPIA、处理访问/删除/可携带请求、撰写或审阅隐私政策、实施数据保留与删除计划、配置跨境数据传输（SCC、充分性决定）等。技能明确声明仅提供工程与产品实施指导，不构成法律建议，合规决策应咨询合格法律顾问。
dv-security
用于 Dataverse 环境的安全角色分配技能：通过 PAC CLI 为用户分配安全角色、管理应用用户与业务部门，并在无角色时以管理员身份自我提权。适用于批量跨环境授权等场景，操作前需预览并获得确认。
owasp-infrastructure
OWASP Infrastructure Top 10 是一个面向内部 IT 基础设施安全的知识库技能，将 OWASP 基础设施安全 Top 10（2024）编码为结构化、机器可读的参考文档，供智能体查询，用于识别、评估和修复基础设施安全风险。该技能以 SKILL.md 作为入口，references/ 目录下存放规范性文档，包括漏洞索引以及按 OWASP 基础设施安全编号排列的十类漏洞文档：过时软件、威胁检测不足、不安全配置、不安全的资源与用户管理、不安全的密码学使用、不安全的网络访问管理、不安全的认证方法与默认凭据、信息泄露、对资源和管理组件的不安全访问、资产管理与文档不足。
manage-firewall
用于检查和配置 Power Pages 生产站点前置 Web 应用防火墙（WAF）的技能，可查看当前状态与规则、按需启用或停用防护、新增或修改自定义规则及删除规则，并提供审查模式输出状态与规则说明。
manage-headers
manage-headers 是微软 power-platform-skills 中的一个技能，用于检查并配置 Power Pages 站点向浏览器发送的安全响应头，涵盖内容安全策略（CSP）、框架与点击劫持防护、跨域相关头等。它以 HTTP/* 站点设置的形式，将每个头保存为 .powerpages-site/site-settings/ 下的 YAML 文件，文件名用 - 代替 /（如 HTTP/X-Frame-Options 对应 http-x-frame-options.sitesetting.yml）。技能流程包括：确认项目与站点设置目录是否存在、读取现有 YAML 识别已配置与缺失的头、评估并给出建议、按用户逐个确认后应用修改、最后总结。它强调用日常语言向用户解释各头的作用，建议 CSP 先用报告模式，避免破坏站点功能，且不推荐放宽已有策略。需要注意的是，该技能依赖 references/headers-reference.md 等参考文件与脚本，实际使用前应确认这些资源随插件提供。
azure-external-attack-surface-management
面向 Azure External Attack Surface Management（Defender EASM）开发的专家知识技能，涵盖配置相关内容，适用于按 ASN、域、主机、IP、页面、SSL 证书、联系人等筛选 EASM 资产清单，以及将 EASM 数据导出至分析工具。
multi-agentic-threat-model
面向多智能体系统的威胁建模技能，依据 CSA MAESTRO 七层参考架构与 OWASP 多智能体系统威胁建模指南 v1.0，对系统分层拆解、逐层与跨层分析威胁，并输出风险优先级与分层缓解策略。
prompt-injection-test
基于 Arcanum PI 提示注入分类法，对集成 LLM 的应用进行提示注入防御的系统化测试，覆盖攻击意图、攻击技术与规避手法，仅限授权测试使用。
authentication-patterns
该技能提供 Web 与移动应用中的身份认证与授权实现模式，涵盖 OAuth 2.0 流程、JWT 访问令牌与刷新令牌管理、会话策略、多因素认证（TOTP、WebAuthn/passkeys）、NextAuth/Auth.js v5 与 Clerk、Supabase Auth、Lucia 等库集成、SSO 协议（SAML、OIDC）以及 RBAC/ABAC 授权模式。适用于构建登录注册流程、接入社交登录、实现 MFA、为企业客户设置 SSO、设计授权模型或在认证提供商之间迁移。核心原则包括不自行实现加密、纵深防御、把令牌当作凭据、默认最小权限、设计账户恢复流程。资料还给出密码哈希算法对比（argon2id、bcrypt、scrypt、PBKDF2、MD5/SHA-256）与常见反模式表。
auth-ops
auth-ops 是一套面向安全应用开发的认证（Authentication）与授权（Authorization）模式参考集合，来源于 0xdarkmatter/claude-mods。它覆盖 JWT、OAuth2、会话管理、RBAC、ABAC、ReBAC、Passkeys（WebAuthn）、MFA、身份感知代理以及 Better Auth 等主题。资料以决策树和速查表形式呈现：包括认证方式决策树（会话、JWT、API Key/Client Credentials、OAuth2/OIDC、Passkeys/魔法链接、身份感知代理）、OAuth2 流程决策树（授权码+PKCE、BFF、客户端凭证、设备码、令牌交换）、授权模型决策树（直接权限、RBAC、ABAC、ReBAC）。同时提供 JWT 结构、常见声明（iss/sub/exp/iat/aud/jti/nbf）与签名算法对比（RS256/ES256/HS256）、访问令牌+刷新令牌轮换与家族检测、会话 Cookie 安全设置、密码哈希算法选择（argon2id/bcrypt/scrypt/PBKDF2）、NIST 800-63B 密码规则、登录速率限制、MFA 方法排序、TOTP 与 Passkey 实施清单、身份感知代理的不变量与常见陷阱，并附带多个参考文件说明。
thermo-nuclear-review
Thermo Nuclear Review 是一个用于对已检出分支进行安全与正确性审计的技能。它要求以安全专家视角，极其彻底地审查分支及其改动，重点发现新增或修改代码中的缺陷、破坏现有功能的问题以及安全漏洞。该技能强调只报告 diff 中新增或修改的代码问题，不报告未改动代码中的漏洞；同时要求追踪跨包、跨模块依赖带来的副作用，识别破坏开发者体验的改动、功能开关泄漏，并避免误报优先级。若存在 PR/MR，还需在完成审计后通过 gh/glab 查看讨论中 BugBot 或其他人的评论并纳入报告。
prove
Prove 集成技能，通过 Membrane CLI 连接 Prove 身份验证与反欺诈 SaaS 平台，用于管理数据、记录并自动化工作流，适合用户需要与 Prove 数据交互的场景。
security-checklist
Security Checklist 是一套面向 AI 编程助手的严格安全规则，用于在生成或修改代码时防止密钥泄露。它明确规定哪些文件绝不能提交到 Git（如 .env、.env.local、.env.production 等环境文件，以及 AWS 凭证和 SSH 密钥），要求只提交不含真实值的模板文件（.env_TEMPLATE、.env.example），并给出必需的 .gitignore 模式。规则禁止硬编码密钥，要求运行时从环境变量读取、基础设施从 Secrets Manager 或 SSM 引用；同时规定密钥存储应使用 AWS Secrets Manager、SSM Parameter Store（SecureString/String），禁止将密钥写入代码、提交到 Git、输出到日志或在 URL 中传递。前端方面，禁止暴露后端 API 密钥，只能使用公开 API key 或用户专属 token。此外还要求在应用启动时校验必需的环境变量是否存在，并提供提交前的代码审查清单。当不确定某值是否敏感时，默认按密钥处理。
cryptography
面向工程师的实用密码学技能，覆盖密码哈希、AES-256-GCM加解密、JWT签名与校验、TLS配置、HMAC签名、密钥轮换和随机令牌生成等常见任务，提供TypeScript/Node.js代码与算法选型建议及反模式清单。
auditing-kubernetes-rbac-privilege-escalation
该技能用于审计 Kubernetes 集群中的 RBAC 权限配置，发现过度宽松的角色绑定与服务账号令牌滥用路径。它借助 kubectl auth can-i、rbac-police、kubectl-who-can、rakkess、rbac-lookup 等工具，枚举各主体的有效权限，识别可导致集群接管的危险原语（如 escalate、bind、impersonate、创建特权 Pod、读取 Secret、铸造令牌等），并将挂载令牌的 Pod 映射到高风险服务账号，最终产出按优先级排序的整改报告。仅限获得书面授权的安全测试与教育用途。
openharmony-security-review
OpenHarmony Security Review 是一个面向 OpenHarmony C++ 系统服务代码的安全审查技能，用于识别高危安全漏洞。它聚焦四大领域：外部输入处理（IPC 与网络）、多线程竞态条件、敏感信息泄露以及权限校验。该技能适用于审查 xxxService、xxxStub 等系统服务实现，尤其是处理 MessageParcel IPC 或 JSON/XML/Protobuf 网络数据、存在多线程共享状态、记录用户数据或指针、以及执行权限校验的代码。技能提供结构化的代码遍历策略、关键漏洞检查清单，以及针对每类漏洞的反面示例与安全写法对照，帮助审查者发现反序列化未校验、整数越界、容器线程不安全、死锁、TOCTOU、PII 日志泄露、指针地址泄露和缺失权限检查等问题。不适用于应用层代码、非 OpenHarmony 的 C++ 代码或性能优化场景。
iac-security-review
IaC Security Review 是一项针对基础设施即代码（Infrastructure-as-Code）的安全审查技能，用于检查 Terraform、Kubernetes、CloudFormation 等 IaC 文件中的错误配置、过度授权与安全风险。该技能会先根据文件扩展名与内容识别基础设施技术类型，例如 .tf 或 .tofu 文件对应 Terraform/OpenTofu，包含 apiVersion、kind: Deployment/Pod/Service 的清单对应 Kubernetes，包含 AWSTemplateFormatVersion 与 AWS:: 资源的模板对应 CloudFormation，Helm Chart 则在 Kubernetes 审查基础上进行针对性检查。随后按安全域优先级进行系统化审查，包括身份与访问管理、密钥管理、网络安全、加密、存储安全、日志与监控、资源暴露、供应链风险以及平台特定风险。审查还会对照 CIS 基准、云厂商安全最佳实践以及 Kubernetes Pod Security Standards 进行验证。最终每项发现会给出资源路径、错误配置说明、攻击场景、修复代码示例与严重性评级，并按严重程度排序输出，附严重性数量汇总和安全配置改进建议。
misttrack-skills
MistTrack Skills 是 SlowMist 反洗钱追踪工具 MistTrack 的技能脚本集，通过 MistTrack OpenAPI 进行加密货币地址风险分析、AML 合规检测与交易追踪，支持风险评分、标签查询、多签分析、转账安全检测及 x402 按次付费调用。
tisax
面向汽车供应链的 TISAX 顾问技能，覆盖 ENX/VDA 评估体系、VDA ISA 目录、评估目标与标签、成熟度评分、ENX 流程与 ISO 27001 对照，帮助供应商做差距评估、标签选择、就绪路线图与审核准备。
cryptography
面向 CTF 与渗透测试的实用密码分析技能，涵盖格攻击、填充预言、弱随机数利用、签名伪造与秘密共享恢复，强调先读源码识别线性或代数结构，再用纯 Python 实现求解器。
strix-ci-setup
将 Strix 安全扫描接入 CI/CD 的技能：支持 GitHub Actions、GitLab CI 等流水线，对每个 PR 做基于 diff 的 AI 渗透测试，发现已验证漏洞时阻断构建，并可输出 SARIF 2.1.0。