django-application
中文介绍正在整理，稍后补充。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-15 00:40
安全与审计
3,621 个结果
dd-audit-security-investigation
中文介绍正在整理，稍后补充。
faasjs-best-practices
中文介绍正在整理，稍后补充。
analyzing-azure-activity-logs-for-threats
该技能用于分析 Azure 活动日志以发现威胁，通过 azure-monitor-query 查询 Azure Monitor 活动日志与登录日志，检测可疑的管理操作、不可能旅行（impossible travel）、权限提升等安全风险。面向安全运营（SOC）分析师，适用于安全事件调查、检测规则与威胁狩猎查询构建、此类分析的标准化流程，以及相关攻击技术的安全监控覆盖验证。使用前需熟悉安全运营概念与工具，具备可安全执行的测试或实验环境、Python 3.8+ 及所需依赖，并取得相关测试活动的适当授权。
cloud-security-configuration
该技能聚焦于在 AWS、Azure 与 GCP 上落地全面的云安全配置，覆盖身份与访问管理（IAM）、加密与密钥管理、网络安全与隔离、合规以及威胁检测等主题。内容以防御纵深思路组织，提供适用场景清单、快速上手命令与参考指南索引，并给出安全配置的最佳实践正反清单。快速示例包含启用 AWS GuardDuty 威胁检测、创建 CloudTrail 多区域审计日志、为 S3 存储桶配置默认 KMS 加密，以及启用 VPC 流日志（具体实现见参考指南）。参考指南针对 AWS 安全配置、Terraform 安全配置、Azure 安全配置和 GCP 安全配置分别展开。
fivem-security
fivem-security 是面向 FiveM 服务器脚本开发的安全加固技能，聚焦网络事件、NUI 回调、权限与反作弊。它要求在编写或审查任何网络事件处理器，以及涉及发放金钱、物品、车辆或权限、管理员命令、封禁逻辑或作弊与漏洞相关问题时启用。核心原则是绝不信任客户端：客户端只能请求，服务端根据自身配置与状态决定；不接收客户端传来的价格、数量、奖励或物品名，全部在服务端推导；强调 GetInvokingResource() 跨网络时为 nil，不能当作认证；RegisterNUICallback 未认证，不能作为 TriggerServerEvent 的唯一关卡；需在服务端做距离校验（约 10 单位）、状态复核（职业、物品、冷却）、关键事件限流并在 playerDropped 清理逐来源状态；用 AddEventHandler 配合 CancelEvent() 过滤武器伤害、投射物、卸下武器、粒子等原生游戏事件；管理员操作只用 ACE（IsPlayerAceAllowed）授权，不用标识符列表；持久数据以 license: 为键，因非 Steam 启动可能没有 steam:；沙箱禁止写出资源自身文件夹之外的写入、os.execute 和 io.tmpfile()；记录拒绝日志，按次数升级而非单次自动封禁。
security-scan
Security Scan 是一个用于代码库安全分析的技能。它能够检测 OWASP Top 10 类别的漏洞、硬编码的凭据/API 密钥/令牌等 secrets、SQL/XSS/命令注入等注入缺陷、弱加密算法与不安全实现，以及不安全的默认配置和错误配置。该技能支持全量扫描、快速扫描和按类别聚焦扫描三种模式，并可按 CRITICAL 到 INFO 的分级输出可执行报告，包含文件位置、检测模式、风险原因和修复建议。它与 /secrets-scan、/dependency-scan、/config-scan 等技能可配合使用，也可通过 .security-scan.yaml 和忽略文件进行自定义配置。适用于开发者在部署前对代码库进行系统化的安全审查，或针对特定漏洞类别进行专项排查。
threat-modeling
threat-modeling 是一个面向软件系统的威胁建模工作流技能，源自 bobmatnyc/claude-mpm-skills。它围绕范围界定、数据流图、STRIDE 分析、风险评分以及把缓解措施转化为待办事项和测试展开。该技能包含范围、数据流图、逐元素 STRIDE、风险评分、缓解、工单与测试六个环节，并给出威胁登记表示例行、验证检查点及完成标准的输出要求，还列出 stride-workshop、common-threats-and-mitigations、templates 三份参考材料。
sumsub-create-workflow
Sumsub Create Workflow 是一个用于创建和发布 Sumsub 申请人工作流（ApplicantWorkflow）的技能工具。它可以把用户提供的紧凑节点/边规格转换成完整的 ApplicantWorkflow JSON 载荷，先进行干运行校验（不持久化），再将其作为草稿保存，最后根据工作流当前的实际流量暴露程度决定如何发布：低暴露时直接发布，高暴露时需用户显式确认。发布后支持返回名称（kind）、修订号、修订状态与 id。该工具提供对工作流的创建、更新、校验、派生草稿、发布与归档等操作接口，并要求 App Token 具备 manageWorkflows 权限。需要注意的是，工作流修订在生产与沙箱之间是共享的，只有申请人是隔离的，因此发布会影响真实生产流量；草稿则不会路由任何流量，可安全地创建、更新和校验。
owasp-mobile-security-checker
OAuth Mobile Security Checker 是一个面向 Flutter 与移动应用的安全审计技能，基于 OWASP Mobile Top 10 (2024) 提供自动化与手动相结合的检查方案。它包含四个 Python 扫描脚本，分别对应 M1 硬编码密钥、M2 依赖漏洞、M5 网络通信安全、M9 不安全存储，可从项目根目录运行并输出 JSON 结果。其余风险类别（M3 弱认证、M4 输入验证、M6 隐私违规、M7 二进制保护缺失、M8 配置错误、M10 弱加密）需结合参考文档进行人工代码审查。适合发布前检查、代码提交、Pull Request 审查和事件响应等场景，但不适用于 Web 应用审计、后端安全审查，也不能替代专业渗透测试。
security-research
security-research 是一个团队模式（Team Mode）安全研究技能，通过编排 3 个漏洞猎手与 2 个 PoC 工程师并行审计代码库，区分真实可利用性与泛泛的安全担忧。它适用于仓库、diff 范围、PR、发布候选版本、路径列表或威胁面等具体目标，采用 CWE、OWASP WSTG、OWASP ASVS 与 CVSS v4.0 作为分类与评分参考。使用前需满足硬性前提：可用的 team_* 工具、处于主会话而非后台子代理、以及具体审计目标。该技能会依次执行范围与基线收集、独立猎手审查、PoC 验证、交叉复核和最终报告，输出含结论、范围、发现表、发现详情、降级或驳回候选以及残余风险的结构化报告。它强调无攻击路径不评级、关键或高危发现需有具体利用前置条件与影响、优先可复现的小型 PoC，并禁止对真实服务或第三方系统运行破坏性利用。
find-bugs
Find Bugs 是一个用于审查本地分支代码变更的技能，帮助发现缺陷、安全漏洞和代码质量问题。它适用于被要求审查变更、查找 bug、进行安全审查或审计的场景。该技能通过五个阶段执行：完整收集输入（获取完整 diff 并列出所有修改文件）、映射攻击面（识别用户输入、数据库查询、认证授权检查、会话操作、外部调用和加密操作）、逐文件逐项检查安全清单（注入、XSS、认证、授权/IDOR、CSRF、竞态条件、会话、加密、信息泄露、DoS、业务逻辑）、验证潜在问题（确认是否已在别处处理、是否有测试覆盖、阅读上下文）、以及结论前审计（列出已审查文件、逐项清单结果、无法完全验证的区域）。输出按安全漏洞 > 缺陷 > 代码质量排序，跳过风格/格式问题，每个问题包含文件与行号、严重程度、问题描述、证据、修复建议和参考标准。若未发现显著问题会如实说明，且只报告不修改代码。
security-documentation
该技能用于创建安全相关文档，包括安全策略、指南、合规文档（如 SOC 2、GDPR、HIPAA）、事件响应计划、访问控制策略、数据保护政策、漏洞披露政策及安全审计报告等。适用于记录安全政策与合规要求，并整理安全开发与运维的最佳实践。
security-ux
security-ux 是一个面向安全相关界面的设计指南型技能，旨在帮助设计者构建既安全又不让用户感到挫败的交互体验。它围绕身份验证、密码体验、信任信号、账户恢复、数据泄露与异常通知、权限与同意等维度给出具体指导。技能强调用清晰的语言而非恐吓来建立用户信任，让用户感到安全、掌控，而不是被安全要求惩罚。使用时用户以 /security-ux 启动该工作流，并需先加载 $frontend-design 及其 Context Gathering Protocol，若无设计上下文则先加载 $setup。
vibe-pentest-ai-security-testing
中文介绍正在整理，稍后补充。
code-security-audit
Code Security Audit 是一个面向代码变更的 AI 安全审计工具，基于 claude-code-security-review 构建。它用于对代码改动、diff 或分支进行安全审计，识别高可信度的可利用漏洞，并通过硬排除规则与 Claude API 过滤误报。该工具适用于需要「audit security」「review」等安全审查的场景。它提供手工审计工作流与 GitHub Action 集成两种使用方式：前者通过 git diff 收集变更，执行三阶段分析（上下文研究、对比分析、漏洞评估），覆盖输入验证、认证授权、加密与密钥、代码执行、数据暴露等类别，并要求从用户输入追踪数据流至敏感操作；后者可在 CI 中对 PR 自动运行审计，输出包含 findings、analysis_summary 和 filtering_summary 的 JSON。工具内置 references 参考资料、评估框架与 /security-review 斜杠命令模板。使用 GitHub Action 需要 ANTHROPIC_API_KEY、GITHUB_TOKEN 等环境变量，安装命令为 pip install -r claudecode/requirements.txt，运行命令为 python claudecode/audit.py。
code-review-security
code-review-security 是一个以安全为核心代码审查技能，提供面向安全漏洞的检查清单和自动化扫描模式。它适用于审查拉取请求中的安全问题、审计认证或授权代码变更、审查处理用户输入、文件上传或外部数据的代码、检查新功能中的 OWASP Top 10 漏洞、验证敏感信息未被提交到仓库、扫描依赖项的已知漏洞，以及审查暴露敏感数据的 API 端点。该技能以 OWASP Top 10（2021 版）为主线，覆盖访问控制失效、加密失败、注入、不安全设计、安全配置错误、易受攻击的组件、身份认证失败、软件与数据完整性失败、日志与监控失败、服务端请求伪造等类别，并单列 Python 与 React 的特定安全检查表。使用方式为在代码审查时按检查表逐项核对，并可运行 scripts/security-scan.py 进行基于 AST 的扫描，以及配合 pip-audit、npm audit 扫描依赖。发现结果按严重等级分类，并写入 security-review.md，包含严重性、文件:行号、描述与修复建议。该技能不适用于部署基础设施安全、事件响应流程、无安全侧重的通用代码质量审查以及编写实现代码。
network-security-groups
该技能用于配置网络安全组与防火墙规则，控制入站与出站流量并实现网络分段。资料显示其目标是强制执行最小权限访问、隔离网络并保护基础设施免受未授权访问，适用于入站流量控制、出站流量过滤、网络分段、零信任网络、DDoS 缓解、数据库访问限制、VPN 访问控制以及多层应用安全等场景。技能内含快速开始示例（AWS CloudFormation 安全组 YAML 片段，展示 HTTP、HTTPS 入站规则及仅限管理网段的 SSH 规则）以及参考指南目录，涵盖 AWS 安全组、Kubernetes 网络策略、GCP 防火墙规则和安全组管理脚本。最佳实践分为应做与不应做两类：应做包括实施最小权限、使用安全组分段、记录规则用途、定期审计规则、分离入站与出站规则、使用安全组引用、监控规则变更、启用前测试访问；不应做包括对数据库开放 0.0.0.0/0、无必要地开放全部端口、在单一安全组中混合环境、忽略出站规则、允许全部协议、忘记记录规则、使用单一兜底规则以及在无防火墙情况下部署。资料未提供具体收费、价格或平台支持范围等信息。
tauri-security
tauri-security 是一个面向 Tauri v2 的安全配置技能，主要用于指导能力（Capabilities）、Scope 与基于 ACL 的权限控制。它的核心用途是帮助开发者把业务功能映射为插件能力，为每个能力定义 Scope 访问规则，生成并校验 capabilities/default.json，并在生产环境中收敛插件权限、验证最小权限运行效果。该技能适用于权限配置、能力文件编写、Scope 配置及 ACL 审计等场景，输出包括能力到 Scope 的映射、可直接使用的能力文件和权限审计清单。其边界明确：仅处理 Capabilities、Scope 与 ACL 配置，不涉及应用功能设计或后端鉴权。
analyzing-ios-app-security-with-objection
这是一项面向 iOS 应用运行时的安全测试技能，基于 Objection（构建在 Frida 之上）。它用于在获得授权的渗透测试中，动态检查 iOS 应用的 Keychain、文件系统与内存中的敏感数据，探索应用内部结构，并对客户端安全控制（如 SSL 证书绑定、越狱检测）进行验证与绕过。该技能覆盖 MASVS-STORAGE、NETWORK、AUTH、RESILIENCE、PLATFORM 等评估方向，可挂钩 Objective-C/Swift 方法、监控网络与生物识别调用、搜索内存字符串等。使用前需具备 Python 3.10+、Objection、Frida 工具、目标 iOS 设备及 USB 或网络连接，推荐 macOS 环境。所有修改均为运行时行为，重启应用即失效，且不得在未授权设备上使用。
OSINT
OSINT 是一个用于授权调查的开源情报（Open Source Intelligence）收集技能，属于 danielmiessler/lifeos 项目。它通过工作流路由将不同类型的调查请求分发到对应流程，覆盖人物背景调查、公司情报、投资尽职调查、实体与威胁情报、域名与子域名侦察、组织/NGO/政府机构研究，以及发现新的 OSINT 来源。该技能内置 279 个 OSINT 来源的主目录（SOURCES.JSON），并配套伦理框架、方法论等参考文档。执行前会检查用户自定义配置目录，并强制发送语音与文本通知。技能要求调查前必须确认授权、范围、合法合规与文档记录，仅允许使用公开来源，禁止使用私有数据、未授权访问、社会工程、购买泄露数据或违反服务条款。它可与 Research、Recon 技能集成，按调查规模部署 4 至 32 个研究代理。
information-security-manager-iso27001
这是一个面向 HealthTech 与 MedTech 公司的高级信息安全经理角色技能，专注于 ISO 27001 与 ISO 27002 的落地实施。它提供信息安全管理系统（ISMS）建设、信息安全风险评估、ISO 27002 安全控制、医疗行业特定安全要求（HIPAA、医疗器械网络安全、临床数据保护、互操作性安全）、医疗器械网络安全、云安全、隐私与数据保护集成、ISMS 治理与运营、安全事件管理、绩效与合规、审计、管理评审以及 ISO 27001 认证与法规合规管理等内容，并附带脚本、参考文档、模板、风险评估工具、审计清单和培训材料等资源。
security-headers-configuration
该技能用于配置 HTTP 安全响应头，帮助 Web 应用防御 XSS、点击劫持（clickjacking）和 MIME 嗅探等基于浏览器的常见攻击。内容涵盖 HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 等关键响应头的用途与推荐值，并提供 Express（Helmet）与 Nginx 的配置示例、验证工具（Security Headers、Mozilla Observatory、CSP Evaluator）、安全检查清单，以及 Python Flask / Apache 的参考实现指引。适用于加固 Web 应用、通过安全审计等场景。
ssh-penetration-testing
中文介绍正在整理，稍后补充。