discover-security

安全技能发现

提供对全面的应用程序安全、漏洞评估和安全最佳实践技能的自动访问。

此技能的激活条件

在处理以下内容时，此技能会自动激活：

• 身份验证和授权系统
• 输入验证和清理
• 安全标头（CSP、HSTS、CORS）
• 漏洞扫描和渗透测试
• OWASP Top 10 漏洞
• 密钥管理（Vault、AWS Secrets Manager）
• SQL 注入、XSS 或其他攻击防护
• 安全加固和合规性
• 密码哈希和凭据管理
• API 安全和访问控制

可用技能

快速参考

安全类别包含 6 项专用技能：

1. authentication - 身份验证模式（JWT、OAuth2、会话、MFA、密码安全）
2. authorization - 访问控制（RBAC、ABAC、策略引擎、权限）
3. input-validation - 输入验证和清理（SQL 注入、XSS、命令注入）
4. security-headers - HTTP 安全标头（CSP、HSTS、X-Frame-Options、CORS）
5. vulnerability-assessment - 安全测试（OWASP Top 10、扫描工具、渗透测试）
6. secrets-management - 密钥处理（Vault、AWS Secrets Manager、密钥轮换）

加载完整类别详情

如需查看完整说明和工作流：

Read ../security/INDEX.md

这会加载完整的安全类别索引，其中包含：

• 详细的技能说明
• 每项技能的使用触发条件
• 常见工作流组合
• 相关技能的交叉引用

加载特定技能

根据需要加载单项技能：

身份与访问

Read ../security/authentication.md Read ../security/authorization.md

输入安全

Read ../security/input-validation.md Read ../security/security-headers.md

安全运营

Read ../security/vulnerability-assessment.md Read ../security/secrets-management.md

常见工作流

安全的 Web 应用程序

顺序：身份验证 → 授权 → 输入验证 → 安全标头

Read ../security/authentication.md # 用户登录 Read ../security/authorization.md # 访问控制 Read ../security/input-validation.md # XSS/SQL 注入防护 Read ../security/security-headers.md # 浏览器防护

安全审计

顺序：漏洞评估 → 输入验证 → 标头 → 密钥

Read ../security/vulnerability-assessment.md # OWASP Top 10 测试 Read ../security/input-validation.md # 注入测试 Read ../security/security-headers.md # 标头配置 Read ../security/secrets-management.md # 凭据安全

API 安全

顺序：身份验证 → 授权 → 输入验证 → 密钥

Read ../security/authentication.md # JWT/OAuth2 Read ../security/authorization.md # API 访问控制 Read ../security/input-validation.md # 请求验证 Read ../security/secrets-management.md # API 密钥管理

DevSecOps 流水线

顺序：漏洞评估 → 密钥 → 输入验证

Read ../security/vulnerability-assessment.md # 安全扫描 Read ../security/secrets-management.md # CI/CD 密钥 Read ../security/input-validation.md # SAST 验证

安全地构建新应用程序

从头开始实现完整安全措施：

1. 身份与访问

Read ../security/authentication.md Read ../security/authorization.md

2. 输入防护

Read ../security/input-validation.md Read ../security/security-headers.md

3. 运营

Read ../security/secrets-management.md Read ../security/vulnerability-assessment.md

技能选择指南

选择 Authentication 的情况：

• 实现用户登录系统
• 使用 JWT、OAuth2 或会话
• 添加多因素身份验证
• 管理密码和凭据

选择 Authorization 的情况：

• 实现访问控制
• 构建基于角色的权限（RBAC）
• 使用策略引擎（OPA、Casbin）
• 防止权限提升

选择 Input Validation 的情况：

• 处理用户输入
• 防止 SQL 注入
• 防范 XSS 攻击
• 验证文件上传
• 防止命令注入

选择 Security Headers 的情况：

• 配置内容安全策略（CSP）
• 实施 HTTPS 强制策略（HSTS）
• 为 API 设置 CORS
• 防止点击劫持
• 加固 Web 应用

选择 Vulnerability Assessment 的情况：

• 针对 OWASP Top 10 进行测试
• 运行安全扫描（SAST/DAST）
• 执行渗透测试
• 审计应用安全
• 设置安全 CI/CD

选择 Secrets Management 的情况：

• 存储 API 密钥或凭据
• 与 HashiCorp Vault 集成
• 使用 AWS Secrets Manager 或 GCP Secret Manager
• 轮换加密密钥
• 管理 CI/CD 密钥

与其他技能集成

安全技能通常会与以下技能组合使用：

API 技能（discover-api）：

• API 身份验证和授权
• API 输入验证
• API 速率限制（防止滥用）
• 保护 REST 和 GraphQL 端点

数据库技能（discover-database）：

• 防止 SQL 注入
• 数据库连接安全
• 凭据管理
• 行级安全

前端技能（discover-frontend）：

• 防止 React/Vue 中的 XSS
• 内容安全策略
• 安全处理 Cookie
• 客户端验证

基础设施技能（discover-infrastructure、discover-cloud）：

• 在部署中管理密钥
• 网络安全
• 容器安全扫描
• TLS/SSL 配置

测试技能（discover-testing）：

• 安全集成测试
• 渗透测试
• 自动化安全扫描
• 漏洞回归测试

使用说明

1. 自动激活：Claude Code 检测到安全相关工作时，此技能会自动加载
2. 浏览技能：运行 Read ../security/INDEX.md 查看完整的类别概览
3. 加载特定技能：使用上面的 bash 命令加载单项技能
4. 遵循工作流：针对常见安全模式使用推荐的流程
5. 组合技能：加载多项技能以全面覆盖安全需求

渐进式加载

此网关技能（约 200 行、约 2K 个 token）支持渐进式加载：

• 第 1 级：网关自动加载（你现在就在这里）
• 第 2 级：加载类别 INDEX.md（约 3K 个 token）以查看完整概览
• 第 3 级：根据需要加载特定技能（每项约 2-4K 个 token）

总上下文：2K + 3K + 技能 = 5-12K 个 token，而整个索引需要 30K+ 个 token。

快速入门示例

“实现用户身份验证”： Read ../security/authentication.md

“添加基于角色的访问控制”： Read ../security/authorization.md

“防止 SQL 注入”： Read ../security/input-validation.md

“配置内容安全策略”： Read ../security/security-headers.md

“测试 OWASP 漏洞”： Read ../security/vulnerability-assessment.md

“集成 HashiCorp Vault”： Read ../security/secrets-management.md

“使用 JWT 保护 API”： Read ../security/authentication.md Read ../security/authorization.md

后续步骤：运行 Read ../security/INDEX.md 查看完整的类别详情，或使用上面的 bash 命令加载特定技能。