SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场skill-file-security

skill-file-security

安全与审计

查看项目

更新于 10-14 05:34

技能介绍

用途

skill-file-security 是一个 CLI 工具，用于向项目中安装安全指令文件，使 AI 编程助手能够识别并修复漏洞。官方描述为“为 AI 编程助手提供的经过实战检验的安全检查”，覆盖 OWASP Top 10、CWE Top 25、ASVS Level 3 等标准。

主要能力

  • 将安全知识文件安装到项目的 .skills/security/ 目录。
  • 自动配置主流 AI 编程助手（Claude、Cursor、Copilot、Windsurf、Cline 等）。
  • 创建 memory-security.md，用于长期跟踪安全评分。
  • 用 6 条安全相关条目加固 .gitignore。
  • 提供 6 个斜杠命令：/security-scan、/security-audit、/security-fix、/security-status、/security-history、/security-incident。
  • AI 助手读取这些指令文件后，会针对用户的具体技术栈（Next.js、Django、Laravel、Express、Docker、Supabase、Firebase 等）应用 29 个安全类别。
  • 覆盖范围：OWASP Top 10（2025）全部 10 项、CWE Top 25 全部 25 项、ASVS Level 3 的部分章节（会话管理 V3、访问控制 V4、密码学 V6、错误处理 V7、数据保护 V8、通信 V9、业务逻辑 V11、文件与资源 V12、API 与 Web 服务 V13、配置 V14）。

使用方式

安装

交互模式（推荐）：

npx @netxeo/security-skill

该模式会启动 5 个问题的智能设置：自动检测技术栈、询问认证/数据库/API/部署及自定义规则，并只安装所需的安全规则。

快速模式（静默安装）：

# 安装到全部 AI 助手
npx @netxeo/security-skill --yes

# 安装到指定助手
npx @netxeo/security-skill --claude
npx @netxeo/security-skill --cursor
npx @netxeo/security-skill --copilot
npx @netxeo/security-skill --windsurf
npx @netxeo/security-skill --cline

作为开发依赖安装：

npm install --save-dev @netxeo/security-skill
npx security-skill

安装内容

安装后会在项目中生成 .skills/security/ 目录，包含 skill.md（主安全编排文件）以及 01-secrets-and-files.md 至 25-modern-security.md 共 25 个分类文件。同时生成 memory-security.md 评分跟踪文件，以及各 AI 助手的配置文件：CLAUDE.md、.cursorrules、.cursor/rules/security.mdc、.github/copilot-instructions.md、.windsurfrules、.clinerules、AGENTS.md、GEMINI.md，并更新 .gitignore。

斜杠命令

  • /security-scan：约 30 秒的快速扫描，只关注严重问题。官方示例输出显示可发现如硬编码密钥、RLS 未启用、缺少速率限制等问题。
  • /security-audit：完整审计，生成安全评分（满分 100）和详细报告文件（security-report.md）。
  • /security-fix：在用户批准后应用修复，修改代码前始终展示 diff。
  • /security-status：从 memory-security.md 展示评分历史。
  • /security-history：展示修改前后的对比。
  • /security-incident：提供完整的事件响应手册。

自定义规则

可通过创建 .skills/security/26-custom.md 添加自定义安全规则，文件需包含 frontmatter（name、category、priority）及规则内容。

技术栈自动检测

工具会从 package.json、requirements.txt/Pipfile、composer.json、Gemfile、pom.xml/build.gradle、Dockerfile、supabase/ 目录、firebase.json 等文件自动检测技术栈，无需手动配置。

与其它工具的集成

skill-file-security 可与 ESLint/Prettier、SonarQube、Snyk/Dependabot、OWASP ZAP 等工具互补使用，其侧重点是理解业务逻辑与上下文的语义安全分析。

适用场景

  • 使用 AI 编程助手进行开发、希望将安全审查嵌入 IDE 工作流的团队。
  • 在 Next.js + Supabase、Express + PostgreSQL、Docker + CI/CD 等场景中自动发现并修复安全问题的项目。
  • 需要按 OWASP Top 10、CWE Top 25、ASVS Level 3 标准进行安全检查的项目。
  • 希望通过评分与历史记录跟踪安全状况改善的团队。

限制

  • 官方文本未提供价格与收费信息，暂未提供。
  • 官方文本未提供除已列技术栈之外的支持范围，暂未提供。
  • 官方文本未提供运行扫描所需的具体环境或版本要求，暂未提供。
  • CI/CD 集成示例中提到需配合支持 CLI 的 AI 工具（如 aider 或 continue.dev），并注明相关命令可能依赖此类工具的支持。
  • 安全评分与检测结果的准确性依赖 AI 助手对指令文件的读取与执行，官方未提供准确率相关数据。