security-check

security-check

你的 AI 化身安全团队。支持每种语言、覆盖每一层，无需任何工具。

此技能的作用

security-check 可将你的 AI 编码助手变成一支全面的安全扫描团队。 它通过自然语言运行一个 4 阶段工作流——侦察 → 搜寻 → 验证 → 报告。 无需二进制文件、依赖项，也无需更改 CI 流水线。

快速开始

安装后，打开 AI 助手并说：

• “run security check” — 全面安全审计
• “scan diff” — PR/差异级增量扫描
• “scan for vulnerabilities” — 与全面扫描相同

在 Claude Code 中，从 / 菜单调用 /security-check。进行全面审计时， 请先打开交互式设置，再创建报告文件或启动工作器。

进行全面审计时，开始操作前请先加载详细的编排器。按以下顺序查找，以兼容这两种安装布局：

1. 作为捆绑包安装时，相对于此启动器的 skills/sc-orchestrator/SKILL.md。
2. 当 shell/手动安装将各项技能作为同级目录放置时，使用 ../sc-orchestrator/SKILL.md。

然后，仅加载编排器选定的侦察、搜寻、验证、报告、语言和专用技能文件。 启动器负责交互式设置；不要在编排器中重复询问相同的设置问题。

交互式审计设置

尊重用户请求中已经说明的选择。仅询问尚未确定的设置值。 如果宿主提供结构化问题工具，请使用一次分组菜单调用； 在 Claude Code 中，使用 AskUserQuestion。工具可用时，不要打印虚假的编号菜单。

提供以下选项：

1. 配置
   • Standard (Recommended) — 基于完整证据的审计，并进行一次覆盖范围审查。
   • Quick — 有范围限制的首轮检查；始终报告部分覆盖情况。
   • Deep — 更细致地覆盖子系统和生命周期，并进行多轮审查。
2. 范围
   • Whole repository (Recommended) — 审计所有从源代码可见的表面。
   • Changed files — 切换到 sc-diff-report，并保留差异模式的限制。
   • Custom paths — 通过一次简短的后续提问获取路径。
3. 验证
   • Source only (Recommended) — 只读分析；外部事实标记为 needs_validation。
   • Sandboxed local checks — 仅在具备所有安全执行控制时运行。
4. 先前报告，仅在存在报告时提供
   • Continue and revalidate (Recommended) — 重用兼容的证据，并重新检查已更改的源代码。
   • Archive and start new — 将旧目录保留在带日期的唯一名称下。
   • Replace — 仅在明确选择此项授权替换时继续。

如果宿主没有结构化问题工具，则采用非破坏性默认值：standard、 整个仓库、仅基于源代码的验证，以及继续使用/重新验证先前证据。仅当缺少自定义路径或破坏性选择会阻碍进度时，才提出普通问题。 将已确定的选择记录到扫描状态中，并在第 1 阶段前用一行文字概述。 菜单选择绝不授权实时探测、外部副作用、凭据使用、依赖项安装、发布或对共享基础设施的修改。

包含内容

51 个安全技能

类别	数量	技能
核心流程	6	编排器、侦察、依赖项审计、验证器、报告、差异报告
注入	9	SQLi、NoSQLi、GraphQL、XSS、SSTI、XXE、LDAP、CMDi、标头注入
代码执行	2	RCE、反序列化
访问控制	4	身份验证、授权、权限提升、会话
数据暴露	3	密钥、数据暴露、加密
服务端	4	SSRF、路径遍历、文件上传、开放重定向
客户端	4	CSRF、CORS、点击劫持、WebSocket
逻辑与设计	3	业务逻辑、竞态条件、大规模赋值
API 安全	3	API 安全、速率限制、JWT
基础设施	3	IaC、Docker、CI/CD
语言扫描器	7	Go、TypeScript、Python、PHP、Rust、Java、C#
专项攻击面	3	AI 与 Agent、协议与消息传递、桌面与本地 IPC

10 份安全检查清单（3000+ 项）

每个语言扫描器都包含一份 400+ 项的检查清单，并列出具体的 CWE 参考。

四阶段流程

Phase 1: RECON        → Architecture mapping, tech stack detection
Phase 2: HUNT         → 40+ vulnerability skills run in parallel
Phase 3: VERIFY       → False positive elimination, confidence scoring
Phase 4: REPORT       → CVSS severity, remediation roadmap

每次完整审计还会维护一份覆盖率台账。在单独的验证环节确认存在真实的信任边界失效且造成实质影响之前，可疑模式仅视为候选项。未解决的运行时或部署事实将标记为 needs_validation，不附带严重性；缺少纵深防御则记录为加固建议。

请参阅 docs/EVIDENCE_MODEL.md，了解统一的证据、覆盖率、安全验证和报告规范。

输出

扫描后会创建 security-report/ 目录，其中包含：

• SECURITY-REPORT.md — 最终综合报告
• architecture.md — 代码库架构图
• dependency-audit.md — 供应链分析
• verified-findings.md — 排除误报后的发现
• coverage-ledger.md — 已覆盖、候选、受阻、延期和排除的审计单元
• findings.json — 最终的 confirmed、needs_validation 和 rejected 记录

更多信息

• 完整文档
• Agent Skills Standard
• skills.sh