Skills-Security-Check
中文介绍正在整理，稍后补充。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-15 00:40
安全与审计
3,388 个结果
spatie-security
Spatie Security 是 Spatie 的 guidelines-skills 集合中的一项安全指南技能，用于在构建、配置或审查应用与基础设施时应用 Spatie 的安全最佳实践。它覆盖的范围包括应用安全、数据库安全、服务器配置、凭据管理以及签名 Git 提交。技能会在进行应用安全配置（认证、授权、表单）、数据库配置的搭建或审查、服务器配置或基础设施审查、代码安全漏洞审查、以及配置或创建签名 Git 提交时被激活。其工作流程为先识别应用、数据库、服务器、凭据或 Git 方面的安全问题，再阅读 references/spatie-security-guidelines.md 并聚焦相关章节，最后在不削弱现有防护的前提下应用最窄范围的相关安全控制。核心规则摘要包括：在 1Password 中存储唯一密码、启用双因素认证、为私钥设置密码保护；对所有 Git 提交进行签名；使用 SSL、CSRF 保护、合适的 HTTP 方法以及自动化授权测试；对密码进行哈希、加密存储的 API 密钥、隔离数据库用户并限制数据库主机；保持服务器更新、禁用 SSH 密码认证、启用无人值守安全更新并限制防火墙流量；保护设备、备份、敏感数据和浏览器活动。不在技能范围内的内容包括代码风格、业务逻辑以及 UI/UX 设计。
mobile-security-coder
这是一个面向移动端安全编码的专家技能，专注于输入验证、WebView 安全配置以及移动平台特有的安全模式。它适用于需要在 iOS、Android 及跨平台框架（如 React Native、Flutter、Xamarin、Cordova）中编写安全代码、修复移动端漏洞、实现安全存储、生物识别认证、证书固定（certificate pinning）等场景。该技能强调以“安全优先”的方式实现移动应用，覆盖本地数据存储加密、Keychain/Keystore 集成、网络传输安全、深层链接校验、代码混淆与防篡改、隐私合规及移动端渗透测试等主题。它与安全审计类技能不同：本技能侧重手写安全代码与实现，而审计类技能侧重评估与威胁建模。使用时需先明确目标、约束与所需输入，应用相应最佳实践并验证结果，输出可执行步骤与验证方法。若任务与该范围无关，或需要环境特定的测试与专家复核，则不应依赖本技能，遇到缺少输入、权限、安全边界或成功标准时应先请求澄清。
rc-security
rc-security 是 RevenueCat AI Toolkit 中面向 Android 的技能，用于加固 RevenueCat 集成安全性。它覆盖 Trusted Entitlements 响应验证模式（INFORMATIONAL 与 ENFORCED）、API 密钥的正确放置、真实用户身份识别，以及服务端权限校验等内容。该技能先确认 RevenueCat 后台已处理的环节（如 Google Play 收据校验、购买令牌去重与防伪、HTTPS 传输、网络失败重试），再引导排查项目中的实际安全缺口：是否设置了 EntitlementVerificationMode、是否误将密钥嵌入客户端、是否使用 Purchases.logIn 识别真实用户、服务端是否自行校验权益。随后给出计划与执行步骤，包括在 PurchasesConfiguration 中开启响应验证、读取验证结果、在遥测确认失败率极低后升级到 ENFORCED、仅保留公开密钥、调用 logIn、以及在服务端通过 REST API 或 webhook 驱动的标记校验付费内容访问权，并附带验证清单与常见错误。
recipe-triage-security-alerts
中文介绍正在整理，稍后补充。
gws-alertcenter
gws-alertcenter 是 Google Workspace CLI 中用于管理 Workspace 安全告警的命令行模块，对应 Alert Center API 的 v1beta1 版本。它通过 `gws alertcenter <resource> <method> [flags]` 的形式调用，让管理员可以在命令行中批量删除、批量恢复、删除、获取、列出、恢复告警，并查看或更新客户级别的设置。该工具主要面向需要以脚本或终端方式处理 Google Workspace 安全告警的管理员与开发人员。使用前需先阅读 gws-shared 技能文档以了解认证、全局标志和安全规则，若该文档缺失可运行 `gws generate-skills` 生成。
bluehammer-vulnerability-poc
BlueHammer 是一个基于 C 语言的漏洞概念验证（PoC）仓库，主要用于安全研究、教学与防御目的。该技能覆盖该仓库的构建、运行与代码模式。仓库为研究性产物，记录了某个特定漏洞并提供 PoC 利用代码，同时使用 PGP 密钥进行真实性签名验证。作者明确指出 PoC 存在已知缺陷，可能无法按原样正常工作。使用方式包括：通过 git clone 获取代码，用 PGP 验证 README 签名，使用 gcc 或 make 编译，运行二进制并传入目标参数，可用 GDB、strace、ltrace、ASAN 等工具调试分析。仅限获得授权的隔离实验环境使用，禁止在生产系统运行。语言 C，MIT 许可，仓库有 606 星标、228 分支。
auditing-security
该技能用于对代码库执行系统化的安全审计，检查 OWASP Top 10 漏洞、密钥泄露和不安全模式。当用户要求审计安全、检查漏洞、审查代码安全问题或加固应用时使用。审计覆盖硬编码密钥扫描、身份认证与授权、注入漏洞、依赖安全、CORS 与 CSP 配置、数据暴露，并生成带严重级别（严重/高/中/低）的发现报告，包含文件路径、行号和修复建议。
security-audit-logging
该技能用于实现全面的安全审计日志记录，面向合规、取证与 SIEM 集成场景。它提供结构化日志、日志保留策略以及将日志发送到 SIEM 的做法，覆盖安全事件、用户操作和系统变更的记录。适合在构建审计追踪、合规日志或安全监控时使用，涉及 SOC 2、HIPAA、PCI-DSS 等合规要求，以及安全监控、取证调查、用户活动跟踪、系统变更审计和入侵检测等用途。资料给出了 Node.js 的入门示例，使用 winston 与 winston-elasticsearch 创建日志记录器，配置文件传输（10MB 单文件、保留 30 个文件、可尾随）以及 Elasticsearch 传输用于 SIEM。详细实现参见参考指南中的 Node.js、Python 和 Java 审计日志系统。最佳实践强调应记录所有安全事件、使用结构化日志、包含 UTC 时间戳、记录用户上下文、实施日志保留、加密敏感日志、监控日志完整性、发送到 SIEM、包含请求 ID；同时不应记录密码或机密、不必记录敏感 PII、不能跳过失败尝试、不允许日志被篡改、不能不安全地存储日志、不能忽略日志分析。
security-guidance
Security Guidance Hook 是一个用于 Claude Code 的 PreToolUse 安全钩子，可在代码写入前拦截 12 类常见安全反模式。它会在每次 Edit、Write、MultiEdit 操作前自动运行，同时扫描被编辑文件的路径（如带有风险 ${{ }} 表达式的 GitHub Actions 工作流文件）与即将写入的内容（11 项基于子串匹配的反模式），检测到已知危险模式时向 stderr 输出警告并以退出码 2 阻止工具调用。安装方式为在 Claude Code 中执行 /plugin marketplace add alirezarezvani/claude-skills 与 /plugin install security-guidance@claude-code-skills，安装后无需额外配置。可通过 ENABLE_SECURITY_REMINDER=0 临时禁用，也支持在文件内以注释方式为合法用例做逐文件说明。状态缓存与调试日志保存在 ~/.claude/ 目录下。该插件基于 MIT 许可的原始实现移植而来，并新增了若干模式。
laravel-security-audit
laravel-security-audit 是一个面向 Laravel 应用的安全审计技能，扮演 Laravel 安全审计员的角色，用于分析 Laravel 应用中的安全漏洞、错误配置和不安全的编码实践。该技能以攻击者视角思考、以安全工程师视角作答，重点关注数据保护、输入验证完整性、授权正确性、安全配置、OWASP 意识以及真实世界的漏洞利用场景。其适用范围为 Laravel 10/11 及以上版本应用，可用于审查 Laravel 代码漏洞、审计认证与授权流程、检查 API 安全、审查文件上传逻辑、验证请求处理、检查速率限制、审查 .env 暴露风险以及评估部署安全态势。该技能采用风险分级模型，每个问题被标记为 Critical、High、Medium、Low 或 Informational，并强调不过度夸大严重程度。审计输出通常包含摘要、已识别的漏洞、每个问题的风险等级、漏洞利用场景、建议修复方案以及安全重构示例。
web-security-review
Web Security Review（OWASP Top 10）是一款面向 Web 应用的安全审查技能，用于按 OWASP Top 10 for Web Applications（2021）的十大风险项对 Web 应用进行系统性评估。其用途包括审计 Web 应用、审查服务端代码以及评估 Web 安全状况。核心做法是先进行应用测绘（识别框架/语言、部署模型、信任边界、数据敏感度和认证机制），再逐项评估 A01 至 A10 十类风险，并结合检测到的框架（如 React、Angular、Vue、Express、Django、Flask、Rails、Spring、ASP.NET、Laravel）执行针对性分析，同时审查 Web 服务器与应用的配置及部署清单。最终输出应用概述、覆盖全部 10 个类别的风险矩阵（含严重程度与状态）、按模板撰写的详细发现、观察到的正向控制措施以及按优先级排序的修复路线图。该技能引用 OWASP Top 10（2021）、OWASP ASVS v5.0、OWASP 测试指南（WSTG）和 OWASP Cheat Sheet 系列作为参考依据。具体收费、价格与平台信息暂未提供。
security-fuzzing
该技能提供用于漏洞测试的核心 Fuzzing 载荷集合，涵盖 SQL 注入、命令注入、特殊字符，以及 LDAP 注入和 NoSQL 注入等场景。内容取自 SecLists 的 Fuzzing 目录，为精简精选子集，包含快速 SQL 注入测试、通用 SQL 注入、认证绕过、MySQL 专用载荷、NoSQL 注入载荷和命令注入等多种载荷文件。适用于经授权的渗透测试、漏洞赏金计划、CTF 竞赛、受控环境下的安全研究、自有系统测试和教学演示。该技能严格限定于授权用途，禁止未授权访问、无许可测试、恶意活动、侵犯隐私及任何违法行为。完整 SecLists 仓库约 4.5 GB，包含 6000 多个文件，本项目仅是其中 Fuzzing 相关的精选部分，采用 MIT 许可证。
security-patterns
security-patterns 是一个面向安全测试的敏感数据模式集合技能，用于在代码或日志中发现和验证 API 密钥、信用卡号、邮箱地址、IP 地址、社会安全号码（SSN）、电话号码等敏感信息。该技能来源于 SecLists/Pattern-Matching 目录，仓库地址为 https://github.com/danielmiessler/SecLists，采用 MIT 许可证。它适合在获授权的渗透测试、漏洞赏金项目、CTF 竞赛以及受控环境下的安全研究中使用，也可用于测试自有系统的数据发现与校验。技能内包含 api-keys.txt、credit-cards.txt、email-addresses.txt、ip-addresses.txt、ssn.txt、phone-numbers.txt 等模式文件，并提供基于 Python os.walk 遍历读取 references/Pattern-Matching 目录的示例代码。使用时须确保获得书面授权，禁止用于未授权访问、恶意活动、隐私侵犯或任何非法用途。该技能是完整 SecLists 集合的精选子集，完整仓库约 4.5 GB、包含 6000 多个文件，涵盖密码、用户名、发现、模糊测试、载荷、Web Shell、模式匹配、AI 等多个类别。
security
该技能名为 /security，是一套面向敏感代码的安全审计工作流，流程为“漏洞扫描 → 修复验证”。它通过 aegis 与 arbiter 两个子代理依次执行：先进行全面的安全扫描并输出包含严重级别（CRITICAL/HIGH/MEDIUM/LOW）、位置（file:line）、描述与修复步骤的漏洞报告，再在修复后进行验证，运行安全测试与依赖审计、复查已报告漏洞、确认修复未引入回归问题。该技能覆盖注入攻击（SQL 注入、命令注入、XSS、LDAP 注入）、认证与授权（认证缺陷、会话管理、权限提升、不安全的直接对象引用）、数据保护（敏感数据暴露、硬编码密钥、不安全加密、缺失加密）、配置（安全配置错误、默认凭据、详细错误信息、缺失安全响应头）以及依赖（已知漏洞包、过期依赖、供应链风险）等方向，并声称覆盖 OWASP Top 10 全部十项风险。支持完整代码库、指定区域、单个文件、仅依赖等扫描范围，并可通过 --deps、--verify、--owasp、--secrets 等标志控制执行方式。适用于处理认证、支付、用户数据前后，以及新增安全敏感功能后的审计场景。
huawei-cloud-skill-audit
华为云 Skill 审计工具，用于对华为云技能（skill）进行质量、安全与合规检查。它通过三重检查流水线运行：skillspector（AI 安全扫描，内置 52 条规则/609 个模式，覆盖提示词注入、数据外泄、权限提升、供应链、行为 AST、污点追踪、MCP 分析与 YARA）、gitleaks（凭据泄露扫描，内置 43 条规则，检测硬编码 API 密钥、密码、私钥与令牌）、以及 runtime_security（CWE 高风险运行时模式，36 条规则 + Q001-Q003 三条技能质量规则）。工具支持扫描单个技能目录或包含多个技能的父目录，可指定扫描档位（critical/high/quick/standard/deep）与选择性执行检查项，输出结构化报告，包含已扫描技能、问题摘要、问题详情与修复策略四个部分，并给出 PASS 或 FAIL 的门禁结论。内置检查为纯 Python 实现，无需外部二进制；需要 Python 3.10+，Node.js 与 hcloud CLI 为可选。
longbridge-security-list
中文介绍正在整理，稍后补充。
security-payloads
security-payloads 是一个面向安全测试的载荷集合技能，来源于 SecLists 的 Payloads 目录，经过整理后以技能形式提供。它包含用于杀毒软件测试、文件上传测试、路径遍历测试和安全控制验证的载荷文件，例如 EICAR 测试文件、空字节文件名和命令执行文件名等。该技能适用于获得授权的渗透测试、漏洞赏金计划、CTF 竞赛以及受控环境下的安全研究和教学演示。资料明确强调，禁止将其用于未授权访问、未经许可的测试、恶意活动、隐私侵犯或任何非法用途。该技能基于 MIT 许可证发布，完整 SecLists 仓库约 4.5 GB，包含 6000 多个文件，覆盖密码、用户名、发现、模糊测试、载荷、Web Shell、模式匹配、AI 等多个类别。
owasp-audit
中文介绍正在整理，稍后补充。
testing-jwt-token-security
本技能用于在授权渗透测试中评估 JSON Web Token（JWT）实现的安全性，重点检查加密弱点、算法混淆攻击与授权绕过漏洞。适用于应用使用 JWT 做身份认证或授权、API 通过 Bearer 令牌或 Cookie 传递 JWT、评估使用 JWT/JWS/JWE 的 SSO 实现、测试签发 JWT 的 OAuth 2.0 或 OpenID Connect 流程，以及审计以 JWT 做服务间认证的微服务架构等场景。技能围绕 jwt_tool、Burp Suite 的 JWT 扩展、PyJWT、Hashcat、john 等工具展开，工作流覆盖解码分析结构、测试 alg:none 攻击、RS256 到 HS256 算法混淆、爆破 HMAC 密钥、篡改与注入声明（JKU、KID、x5u）、测试令牌生命周期与吊销等环节，并给出结构化发现报告的输出格式。
skill-security-audit
中文介绍正在整理，稍后补充。
sap-dependency-security
SAP 依赖安全与 MCP 可执行文件信任策略工具：通过安全升级、冷却期、分阶段发布和供应链防护来管理依赖。适用于升级依赖、配置防供应链攻击、解决依赖冲突或审计漏洞等场景。涉及 SAP 项目、BTP 部署工具、SAP SDK 或本仓库发布的 MCP 服务器时，可使用更严格的 SAP 开发模式。
security-passwords
中文介绍正在整理，稍后补充。
security-headers-configuration
该技能用于为 Web 应用配置 HTTP 安全响应头，涵盖 CSP（内容安全策略）、HSTS、X-Frame-Options 和 XSS 防护等，帮助抵御 XSS、点击劫持、MIME 嗅探及其他基于浏览器的攻击。适用于新 Web 应用上线、安全审计整改、合规要求、浏览器安全加固、API 安全与静态站点防护等场景。技能提供 Node.js/Express（Helmet）、Nginx、Python Flask、Apache .htaccess 等实现参考，并附带安全头测试脚本，同时给出最佳实践清单。