SuperAPI AI 工具集
合作ENAI 行业资讯收藏

Skill 广场

找到适合任务的 Agent Skill，阅读介绍并复制安装命令。

更新于 10-15 00:40

安全与审计

3,695 个结果

code-security-audit

Code Security Audit 是一个面向代码变更的 AI 安全审计工具，基于 claude-code-security-review 构建。它用于对代码改动、diff 或分支进行安全审计，识别高可信度的可利用漏洞，并通过硬排除规则与 Claude API 过滤误报。该工具适用于需要「audit security」「review」等安全审查的场景。它提供手工审计工作流与 GitHub Action 集成两种使用方式：前者通过 git diff 收集变更，执行三阶段分析（上下文研究、对比分析、漏洞评估），覆盖输入验证、认证授权、加密与密钥、代码执行、数据暴露等类别，并要求从用户输入追踪数据流至敏感操作；后者可在 CI 中对 PR 自动运行审计，输出包含 findings、analysis_summary 和 filtering_summary 的 JSON。工具内置 references 参考资料、评估框架与 /security-review 斜杠命令模板。使用 GitHub Action 需要 ANTHROPIC_API_KEY、GITHUB_TOKEN 等环境变量，安装命令为 pip install -r claudecode/requirements.txt，运行命令为 python claudecode/audit.py。

安全与审计441 次安装

code-review-security

code-review-security 是一个以安全为核心代码审查技能，提供面向安全漏洞的检查清单和自动化扫描模式。它适用于审查拉取请求中的安全问题、审计认证或授权代码变更、审查处理用户输入、文件上传或外部数据的代码、检查新功能中的 OWASP Top 10 漏洞、验证敏感信息未被提交到仓库、扫描依赖项的已知漏洞，以及审查暴露敏感数据的 API 端点。该技能以 OWASP Top 10（2021 版）为主线，覆盖访问控制失效、加密失败、注入、不安全设计、安全配置错误、易受攻击的组件、身份认证失败、软件与数据完整性失败、日志与监控失败、服务端请求伪造等类别，并单列 Python 与 React 的特定安全检查表。使用方式为在代码审查时按检查表逐项核对，并可运行 scripts/security-scan.py 进行基于 AST 的扫描，以及配合 pip-audit、npm audit 扫描依赖。发现结果按严重等级分类，并写入 security-review.md，包含严重性、文件:行号、描述与修复建议。该技能不适用于部署基础设施安全、事件响应流程、无安全侧重的通用代码质量审查以及编写实现代码。

安全与审计436 次安装

network-security-groups

该技能用于配置网络安全组与防火墙规则，控制入站与出站流量并实现网络分段。资料显示其目标是强制执行最小权限访问、隔离网络并保护基础设施免受未授权访问，适用于入站流量控制、出站流量过滤、网络分段、零信任网络、DDoS 缓解、数据库访问限制、VPN 访问控制以及多层应用安全等场景。技能内含快速开始示例（AWS CloudFormation 安全组 YAML 片段，展示 HTTP、HTTPS 入站规则及仅限管理网段的 SSH 规则）以及参考指南目录，涵盖 AWS 安全组、Kubernetes 网络策略、GCP 防火墙规则和安全组管理脚本。最佳实践分为应做与不应做两类：应做包括实施最小权限、使用安全组分段、记录规则用途、定期审计规则、分离入站与出站规则、使用安全组引用、监控规则变更、启用前测试访问；不应做包括对数据库开放 0.0.0.0/0、无必要地开放全部端口、在单一安全组中混合环境、忽略出站规则、允许全部协议、忘记记录规则、使用单一兜底规则以及在无防火墙情况下部署。资料未提供具体收费、价格或平台支持范围等信息。

安全与审计435 次安装

tauri-security

tauri-security 是一个面向 Tauri v2 的安全配置技能，主要用于指导能力（Capabilities）、Scope 与基于 ACL 的权限控制。它的核心用途是帮助开发者把业务功能映射为插件能力，为每个能力定义 Scope 访问规则，生成并校验 capabilities/default.json，并在生产环境中收敛插件权限、验证最小权限运行效果。该技能适用于权限配置、能力文件编写、Scope 配置及 ACL 审计等场景，输出包括能力到 Scope 的映射、可直接使用的能力文件和权限审计清单。其边界明确：仅处理 Capabilities、Scope 与 ACL 配置，不涉及应用功能设计或后端鉴权。

安全与审计430 次安装

analyzing-ios-app-security-with-objection

这是一项面向 iOS 应用运行时的安全测试技能，基于 Objection（构建在 Frida 之上）。它用于在获得授权的渗透测试中，动态检查 iOS 应用的 Keychain、文件系统与内存中的敏感数据，探索应用内部结构，并对客户端安全控制（如 SSL 证书绑定、越狱检测）进行验证与绕过。该技能覆盖 MASVS-STORAGE、NETWORK、AUTH、RESILIENCE、PLATFORM 等评估方向，可挂钩 Objective-C/Swift 方法、监控网络与生物识别调用、搜索内存字符串等。使用前需具备 Python 3.10+、Objection、Frida 工具、目标 iOS 设备及 USB 或网络连接，推荐 macOS 环境。所有修改均为运行时行为，重启应用即失效，且不得在未授权设备上使用。

安全与审计429 次安装

OSINT

OSINT 是一个用于授权调查的开源情报（Open Source Intelligence）收集技能，属于 danielmiessler/lifeos 项目。它通过工作流路由将不同类型的调查请求分发到对应流程，覆盖人物背景调查、公司情报、投资尽职调查、实体与威胁情报、域名与子域名侦察、组织/NGO/政府机构研究，以及发现新的 OSINT 来源。该技能内置 279 个 OSINT 来源的主目录（SOURCES.JSON），并配套伦理框架、方法论等参考文档。执行前会检查用户自定义配置目录，并强制发送语音与文本通知。技能要求调查前必须确认授权、范围、合法合规与文档记录，仅允许使用公开来源，禁止使用私有数据、未授权访问、社会工程、购买泄露数据或违反服务条款。它可与 Research、Recon 技能集成，按调查规模部署 4 至 32 个研究代理。

安全与审计428 次安装

information-security-manager-iso27001

这是一个面向 HealthTech 与 MedTech 公司的高级信息安全经理角色技能，专注于 ISO 27001 与 ISO 27002 的落地实施。它提供信息安全管理系统（ISMS）建设、信息安全风险评估、ISO 27002 安全控制、医疗行业特定安全要求（HIPAA、医疗器械网络安全、临床数据保护、互操作性安全）、医疗器械网络安全、云安全、隐私与数据保护集成、ISMS 治理与运营、安全事件管理、绩效与合规、审计、管理评审以及 ISO 27001 认证与法规合规管理等内容，并附带脚本、参考文档、模板、风险评估工具、审计清单和培训材料等资源。

安全与审计426 次安装

security-headers-configuration

该技能用于配置 HTTP 安全响应头，帮助 Web 应用防御 XSS、点击劫持（clickjacking）和 MIME 嗅探等基于浏览器的常见攻击。内容涵盖 HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 等关键响应头的用途与推荐值，并提供 Express（Helmet）与 Nginx 的配置示例、验证工具（Security Headers、Mozilla Observatory、CSP Evaluator）、安全检查清单，以及 Python Flask / Apache 的参考实现指引。适用于加固 Web 应用、通过安全审计等场景。

安全与审计424 次安装

analyzing-sbom-for-supply-chain-vulnerabilities

该技能用于解析 CycloneDX 与 SPDX JSON 格式的软件物料清单（SBOM），通过将 SBOM 中的组件与 NVD 漏洞数据库进行关联比对，识别供应链中的已知漏洞。它涵盖从使用 syft 生成 SBOM、解析组件、查询 NVD 2.0 API 获取 CVE、构建依赖图分析传递依赖风险、计算风险评分，到使用 grype 交叉验证并生成合规报告的全流程。适用于满足 EO 14028、EU CRA 等法规要求、评估第三方供应商软件风险、在 CI/CD 中自动化漏洞检查，以及响应新披露 CVE 的场景。需要 Python 3.9+ 及 requests、networkx、packaging 库，并建议配置 NVD API 密钥以提高速率限制。

安全与审计421 次安装

privacy-review

Privacy Review 是一项隐私审查与测试技能，用于评估应用如何处理个人数据——包括数据在哪里被收集、处理、存储、传输以及可能泄露。它弥补了单纯代码审查的不足，能够发现运行时数据流、第三方追踪、控制台/网络泄露以及同意机制实现缺口等问题。该技能参考 GDPR、CCPA/CPRA、OWASP Privacy Risks Top 10、NIST Privacy Framework、ISO 27701 和 ePrivacy Directive 等标准，通过浏览器会话进行运行时验证。审查分为五个阶段：教育、范围界定、分析、报告和修复。检查覆盖数据收集与同意（CON）、PII 泄露检测（LEAK）、第三方追踪清单（TRACK）、数据存储与保留（STOR）以及用户权利实现（RIGHTS）五大类别，最终生成结构化报告和可选的 YAML 回归测试，并提供修复指导。

安全与审计417 次安装

strix

Strix 是一个 AI 驱动的应用安全测试 CLI 工具，用于对本地目录、GitHub 仓库、在线 URL、域名及多目标组合进行漏洞扫描。它通过 Docker 沙箱运行扫描，并使用 LLM 提供方进行推理分析。使用前需安装 Docker 并配置 STRIX_LLM、LLM_API_KEY 等环境变量。支持 quick、standard、deep 三种扫描深度，可在 CI/CD 中以无头模式运行，并通过退出码判断结果。仅限对自有或明确授权的系统使用。

安全与审计416 次安装

bug-bounty

这是一个面向漏洞赏金（Bug Bounty）全流程的智能体技能，覆盖侦察、学习、狩猎、验证与报告五个阶段。它强调只报告可实际利用、能造成真实危害的漏洞，拒绝理论性问题，并提供子域枚举、资产发现、指纹识别、HackerOne 范围获取、源码审计、A→B→C 漏洞链挖掘、Semgrep 静态分析、ffuf 高级用法以及各类工具与命令示例。适合安全研究人员在授权范围内开展漏洞挖掘与报告工作。

安全与审计416 次安装

testing-for-json-web-token-vulnerabilities

该技能用于测试 JSON Web Token（JWT）实现中的安全漏洞，包括算法混淆、"none" 算法绕过、kid/jku 参数注入以及弱密钥爆破。测试借助 jwt_tool 与 Burp Suite 的 JWT Editor 扩展完成，适用于使用 JWT 进行认证与会话管理的应用、API 安全评估、OAuth 2.0/OpenID Connect 实现评估、单点登录（SSO）系统渗透测试以及 JWT 库配置审计。技能明确声明仅限授权安全测试与教育用途。

安全与审计413 次安装

spring-security-configuration

该技能属于 Spring Agent Toolkit，用于生成 Spring Security 配置类，涵盖认证、授权与 HTTP 保护的基本设置。它通过 Amplicode IntelliJ 插件提供的 Spring MCP 服务器获取项目上下文（如语言、Spring Boot 版本、模块依赖、已有配置与角色），并依据用户选择的认证方式（表单登录、JWT、OAuth2/OIDC、授权服务器、LDAP 或自定义）生成对应的 filterChain DSL、Bean、依赖与 application.properties 配置。技能强调只使用其 examples 目录中的代码片段，不凭知识添加框架调用，且禁止向用户索取任何凭据，改用环境变量占位符。

安全与审计405 次安装