Security Audit Skill 是一套用于安全评估与审计的技能，围绕常见漏洞标准与安全实践组织内容。
用途与覆盖范围 该技能用于在开展安全评估时提供审计模式与参考，覆盖 OWASP Top 10、OWASP API、OWASP LLM（2025）、CWE Top 25（2025）、CVSS v3.1/v4.0 以及 OWASP ASVS 等标准。它还包含云与 IaC、GitHub 安全，以及 80 多个 PHP/TYPO3 检查点（v14.3 LTS 记录于 typo3-security.md）。
主要能力 在漏洞方面，涉及 XXE、SQLi、XSS、CSRF、命令注入、路径遍历、文件上传、反序列化、SSRF、SSTI、JWT、类型混淆（type juggling）。
在云与 IaC 方面，覆盖 AWS、Terraform、Kubernetes、Docker、Helm。
在 API 与前端方面，涉及 REST/GraphQL 的授权、速率限制、批量赋值（mass assignment）、CSP、DOM-XSS。
在 AI 智能体方面，可审计 SKILL.md、AGENTS.md、CLAUDE.md、mcp.json、hooks.json，并关注提示注入与过度自主权（excessive agency）。
参考资料 技能在 references/ 目录下提供多个参考资料文件（.md 扩展名省略）： 核心：owasp-top10、cwe-top25、xxe-prevention、cvss-scoring、api-key-encryption 防御：deserialization-prevention、path-traversal-prevention、file-upload-security、input-validation、error-message-sanitization、ssh-forced-command-hardening 架构：authentication-patterns、security-headers、security-logging、cryptography-guide、security-invariants、indistinguishability-defences 语言特性（-security-features）：php、python、javascript-typescript、nodejs、go 框架（-security）：typo3、typo3-fluid、typo3-typoscript、symfony、react、vue 云与 IaC：aws-security、iac-security API 与前端：api-security、frontend-security AI 智能体：llm-security（OWASP LLM Top 10 2025） 威胁：modern-attacks、cve-patterns DevSecOps：ci-security-pipeline、supply-chain-security、automated-scanning、gha-security、git-history-secrets 事件响应：supply-chain-incident-response
安全清单 技能提供一份安全检查清单，包括：semgrep/opengrep、trivy fs --severity HIGH,CRITICAL、gitleaks clean；使用 bcrypt/Argon2 密码、状态变更启用 CSRF、TLS 1.2+；服务端输入验证、参数化 SQL、关闭 XML 实体；输出编码加 CSP、不对用户输入使用 unserialize()；API 密钥加密、异常消息净化；密钥移出版本控制、启用审计日志；上传文件经过验证、重命名、置于 Web 根目录之外；启用 HSTS 与 X-Content-Type-Options 响应头、依赖项扫描。
GitHub Actions 安全 在 run: 中绝不要插值 ${{ inputs.* }} / ${{ github.event.* }}，应使用 env:。依赖项分流顺序为：升级 > 覆盖 > 忽略。完整模式见 references/gha-security.md。
验证与使用方式 可通过以下脚本执行验证： ./scripts/security-audit-dispatcher.sh /path/to/project # 自动检测技术栈 ./scripts/security-audit.sh /path/to/project # 仅限 PHP ./scripts/github-security-audit.sh owner/repo # GitHub 仓库 调度脚本会根据指示文件检测技术栈，并运行匹配的 scripts/scanners/*.sh（共 13 个生态系统；参见 references/ 索引）。
适用场景 适用于对 PHP/TYPO3 项目、API、前端、Terraform/Kubernetes/Docker 等 IaC、云环境以及 GitHub 仓库进行安全评估，也适用于审计 AI 智能体相关配置文件。
限制 资料未提供该技能的收费、价格、平台支持范围、实际效果或性能数据，也未提供除上述脚本与参考文件以外的安装或使用步骤，这些内容暂未提供。