用途：vibe-security-skill 是一个面向 AI 编码助手的智能体技能（Agent skill），用于审计由 AI 辅助生成的“vibe-coded”应用，发现 AI 编码助手常引入的安全漏洞。它通过按技术栈组织参考文件，只检查与当前项目相关的部分。
主要能力：可检查硬编码 API 密钥与密钥、被禁用或缺失的行级安全（RLS）策略、不安全的认证模式、客户端提交支付金额、缺少限流、令牌存于 localStorage、移动端包中暴露密钥、未设用量上限的 AI API 密钥等。支持的技术包括 Supabase、Firebase、Convex、Prisma；Stripe；React Native、Expo；OpenAI、Anthropic 等 LLM 提供方；Next.js、Vite、Express。
使用方式：Claude Code 安装可运行 npx skills add https://github.com/raroque/vibe-security-skill --skill vibe-security；Codex 同样命令并在提示时选择 Codex。也可手动克隆：git clone https://github.com/raroque/vibe-security-skill.git，然后复制到项目级 .claude/skills/vibe-security/ 或全局 ~/.claude/skills/vibe-security/。触发方式：Claude Code 使用 /vibe-security 或用自然语言如“check my code for security issues”；Codex 使用 $vibe-security。技能在处理认证流程、支付、数据库查询、API 密钥配置、用户数据处理、环境变量时会自动激活。可通过在 .claude/skills/vibe-security/rules/ 目录添加自定义规则来扩展。
适用场景与限制：适合对 AI 生成代码进行快速安全自查，覆盖密钥、RLS、认证、支付、限流、移动端、SQL 注入等常见问题。它侧重常见 AI 编码错误，不替代全面安全审计；可能对合法模式产生误报；建议配合 Snyk、npm audit、人工审查和 OWASP 指南使用。收费、价格等信息暂未提供。