关于 security-audit
security-audit 是用于审查应用代码、依赖项、配置、架构和 API 安全的技能。它引导审查者界定范围、划分严重级别、安排修复并编写报告，但不能替代专业渗透测试。
主要功能
- 01检查代码中的常见漏洞
- 02排查依赖项的 CVE 和过期包
- 03审查配置、架构与 API 安全
- 04按严重程度分类问题
- 05指导修复并编写审计报告
适用场景
- 01检查新功能或 PR 的安全问题
- 02部署前检查依赖项
- 03基础设施变更后检查密钥与权限
- 04评估新端点的 API 安全
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-audit确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/api-security.mdauth-patterns.mddependency-security.mdowasp-top-10.mdsecrets-management.md详细介绍
安全审计
对应用代码、依赖项和配置进行系统性安全审查。
不能替代专业渗透测试。 可在代码审查范围内识别常见漏洞。
审计类型
| 类型 | 关注点 | 适用时机 |
|---|---|---|
| 代码审查 | OWASP Top 10、注入、身份验证 | 新功能、PR、可疑代码 |
| 依赖项 | CVE、过时的软件包 | 部署前、定期审查、CI/CD |
| 配置 | 密钥、权限、强化安全 | 基础设施变更、新环境 |
| 架构 | 攻击面、数据流 | 设计阶段、重大重构 |
| API 安全 | 身份验证、授权、速率限制 | 新端点、公共 API |
不适用场景
- 设计新的身份验证流程 — 从头设计 OAuth2/JWT 端点时，请使用
api-design - 性能问题 — 使用
observability诊断延迟和资源问题，即使这些问题是由身份验证开销导致的 - CI/CD 流水线安全 — 使用
ci-cd强化流水线（密钥管理、权限）
核心原则
- 优先确定范围 — 扫描前明确审计区域、深度和限制
- 评定严重程度 — 严重（24-48 小时）、高（1 周）、中（2-4 周）、低（待办事项）
- 修复或跟踪 — 立即修复严重问题，为其余问题创建 ohno 任务
- 代码中不得包含密钥 — 扫描硬编码凭据、API 密钥、连接字符串
快速入门清单
- 明确审计范围和类型（代码、依赖项、配置、架构、API）
- 运行自动扫描（npm audit、grep 模式、密钥检测）
- 查看发现的问题，并使用 references 中的决策树评定严重程度
- 立即修复严重/高危问题
- 为中危/低危问题创建优先级适当的 ohno 任务
- 在审计报告中记录发现的问题
参考资料
| 参考资料 | 说明 |
|---|---|
| owasp-top-10.md | OWASP 漏洞的检测与修复 |
| dependency-security.md | npm audit、pip-audit、Snyk、CI/CD 集成 |
| auth-patterns.md | 安全的身份验证与授权模式 |
| api-security.md | API 特有的安全问题 |
| secrets-management.md | 敏感配置的处理 |
运行时说明
- Claude Code：通过 Task 工具派发 yokay-security-scanner，并设置
subagent_type: "pokayokay:yokay-security-scanner"。 - Codex：不支持子 Agent 派发。请在当前会话中直接执行该 Agent 的职责——阅读对应的
agents/yokay-<name>.md，并遵循其中的 Behavioral Defaults、Critical Rules 和 Output Contract。
评论
支持 Markdown