Skills

C

clerk-vue-patterns

clerk / skills

'Vue 3 与 Clerk 的模式——组合式函数（useAuth、useUser，

C

clerk-nuxt-patterns

clerk / skills

使用 @clerk/nuxt 的 Nuxt 3 身份验证模式：中间件、组合式函数、服务端

C

create-auth

better-auth / skills

使用 Better Auth 为 TypeScript/JavaScript 应用搭建并实现身份验证。检测框架、配置数据库适配器、设置路由处理程序、添加 OAuth 提供商并创建身份验证 UI 页面。用户想在新项目或现有项目中使用 Better Auth 添加登录、注册或身份验证时使用。

C

code-review-expert

sanyuan0704 / sanyuan-skills

以资深工程师的视角对当前 git 更改进行专家级代码审查。检测 SOLID 原则违规和安全风险，并提出可执行的改进建议。

W

web-app-penetration-testing

usestrix / strix

对 Web 应用或网站进行端到端渗透测试——对在线 URL、预发布环境或本地开发服务器进行黑盒测试，发现并利用真实漏洞（身份验证绕过、访问控制缺陷、IDOR、注入、XSS、SSRF、业务逻辑漏洞），并通过可运行的概念验证逐一证实，而非仅匹配特征。使用 Strix 运行，可选可自托管的开源 CLI 或托管云服务 app.strix.ai。用户要求对其 Web 应用、网站或预发布站点进行渗透测试、攻击、安全测试或审计时使用。

A

agent-email-inbox

resend / resend-skills

构建任何由电子邮件内容触发操作的系统时使用，包括 AI Agent 收件箱、自动化客服处理程序、邮件转任务流水线，或任何处理不可信入站邮件的工作流。只要用户想要接收邮件并以编程方式处理，就始终使用此 Skill，即使用户没有提到“Agent”——此 Skill 包含关键安全模式（发件人允许列表、内容过滤、沙箱处理），可防止不可信邮件控制你的系统。

A

api-security-testing

usestrix / strix

使用 Strix 对 REST、GraphQL 或 gRPC API 进行安全测试——通过自主 Agent 从 OpenAPI/GraphQL schema（或通过爬取）枚举端点，然后实际利用 OWASP API Security Top 10（2023）中 API 特有的漏洞类别：对象级授权失效（BOLA/IDOR）、对象属性级授权失效（过度数据暴露与批量赋值）、功能级授权失效、无限制的资源消耗、SSRF、注入以及认证/令牌缺陷。每条发现都附带可用的概念验证请求。当用户要求对 API、端点或后端服务进行渗透测试、安全测试、审计或漏洞排查时使用。

O

owasp-top-10-testing

usestrix / strix

使用 Strix 对照 OWASP Top 10 对应用进行测试——一组自主 AI Agent，会针对当前 OWASP Top 10:2025 的每个类别尝试真实攻击（访问控制失效（含 SSRF）、安全配置错误、软件供应链故障、加密失效、注入、不安全设计、身份识别失效、完整性失效、日志与告警失效、异常条件处理不当），并只报告实际能够证实的问题，附概念验证并映射回相应类别。同时涵盖 OWASP API Security Top 10（2023）。当用户要求 OWASP Top 10 评估、OWASP 合规性测试或按 OWASP 类别映射的安全审查时使用。

F

find-security-vulnerabilities-in-code

usestrix / strix

使用 Strix 在代码库或仓库中查找安全漏洞——一次白盒 AI 安全审查：读取源代码，分析真实的数据流和授权模型，然后在实时沙箱中利用所发现的问题，使每个报告的问题都带有可用的概念验证，而不是嘈杂的静态分析告警。涵盖注入、XSS、SSRF、访问控制失效与 IDOR、不安全反序列化、代码中的密钥、不安全依赖以及业务逻辑缺陷。当用户要求对其代码、仓库或拉取请求进行安全扫描、安全审查或漏洞审计时使用。

S

secrets-management

wshobson / agents

使用 Vault、AWS Secrets Manager 或原生平台解决方案，为 CI/CD 流水线实施安全的机密管理。适用于处理敏感凭据、轮换机密或保护 CI/CD 环境。

A

application-security-testing

usestrix / strix

使用 Strix 对整个产品进行应用安全测试（AppSec）：确定哪些资产需要哪种测试（源代码、运行中的 Web 应用、API、CI 流水线），执行测试，并将结果整理为按优先级排序的修复计划。自主 Agent 会利用并验证每个问题，而不是生成静态分析警报，因此计划按实际可触达性排序。用户要求进行应用安全审查或审计、AppSec 评估、跨技术栈漏洞扫描、上线前或客户安全问卷前的安全审查，或尚不清楚需要哪种安全测试时使用。

P

protocol-reverse-engineering

wshobson / agents

掌握网络协议逆向工程，包括数据包分析、协议剖析和自定义协议文档编写。在分析网络流量、了解专有协议或调试网络通信时使用。

S

seeker-genesis-token

solana-mobile / solana-mobile-skills

通过 Sign-in-with-Solana 和服务器端令牌验证，检查 Seeker Genesis Token（SGT）以验证 Seeker 设备所有权。适用于向 Seeker 设备所有者开放内容或奖励、验证用户持有 SGT、为 Solana 移动应用添加反女巫攻击检查，或实现每台设备只能领取一次的逻辑。

I

integration-privy

solana-mobile / solana-mobile-skills

在 Mobile Wallet Adapter 之上，为 Solana Expo Android 应用添加 Privy 身份验证，并使用 Sign-In-With-Solana。适用于安装 @privy-io/expo、挂载 PrivyProvider、使用 useLoginWithSiws 登录用户、将钱包关联到现有 Privy 账户、从后端读取 Privy 访问令牌，或调试 Privy 与 MWA 的配置。

Django 安全最佳实践，涵盖身份验证、授权、CSRF 防护、SQL 注入防护、XSS 防护和安全部署配置。审查 Django 身份验证、授权、输入处理或部署设置时使用。

Laravel 安全最佳实践：身份验证、授权、Eloquent 安全、CSRF、XSS 防护、API 安全和安全部署配置。在审查 Laravel 身份验证、Eloquent 安全、CSRF、XSS、API 安全或部署配置时使用。

Java Spring Boot 服务中有关 authn/authz、验证、CSRF、密钥、标头、速率限制和依赖项安全的 Spring Security 最佳实践。审查 Spring Security 的 authn/authz、验证、CSRF、密钥、标头或速率限制时使用。

使用 REA 对原生、托管、Electron/JavaScript、打包程序、固件和浏览器目标进行逆向工程，并根据实时实例或捕获内容构建 Web 应用的 Agent 环境（AgentEnv bundles）。使用已发布制品或请求的运行时证据来解释功能、比较版本、反编译代码或指导重建。普通源代码仓库架构分析无需使用 REA。

M

memory-safety-patterns

wshobson / agents

在 Rust、C++ 和 C 中运用 RAII、所有权、智能指针和资源管理实现内存安全编程。编写安全的系统代码、管理资源或预防内存错误时使用。

J

java-spring-boot

pluginagentmarketplace / custom-plugin-java

构建用于生产环境的 Spring Boot 应用——REST API、Security、Data、Actuator

使用 AgentShield 扫描 Claude Code 配置（.claude/ 目录），检查安全漏洞、错误配置和注入风险。检查 CLAUDE.md、settings.json、MCP 服务、钩子和 Agent 定义。适用于审计 .claude/ 目录中的 CLAUDE.md、settings.json、MCP 服务、钩子或 Agent 定义。

S

security-best-practices

openai / skills

针对特定语言和框架进行安全最佳实践审查并提出改进建议。仅当用户明确请求安全最佳实践指导、安全审查/报告或默认安全的编码帮助时触发。仅适用于支持的语言（python、javascript/typescript、go）。一般代码审查、调试或非安全任务不要触发。

M

memory-forensics

wshobson / agents

掌握使用 Volatility 及相关工具进行内存取证的技术，包括内存获取、进程分析和痕迹提取。适用于分析内存转储、调查事件或根据 RAM 捕获数据进行恶意软件分析。

B

binary-analysis-patterns

wshobson / agents

掌握二进制分析模式，包括反汇编、反编译、控制流分析和代码模式识别。在分析可执行文件、理解编译后的代码或对二进制文件进行静态分析时使用。

A

anti-reversing-techniques

wshobson / agents

了解软件分析中遇到的反逆向、混淆和保护技术。适用于分析恶意软件的规避技术、为 CTF 挑战实现反调试保护、逆向分析加壳二进制文件，或构建需要检测虚拟化环境的安全研究工具。

S

sast-configuration

wshobson / agents

配置静态应用安全测试（SAST）工具，自动检测应用代码中的漏洞。适用于设置安全扫描、实施 DevSecOps 实践或自动化代码漏洞检测。

运行完整的 Django 验证流程——环境检查、mypy/ruff/black lint、迁移安全检查、带覆盖率目标的 pytest、pip-audit 和 bandit 安全扫描、设置与日志审查，以及差异审查——并在发布或 PR 前生成分阶段通过/失败报告。在准备 Django 拉取请求、验证迁移或覆盖率，或执行部署前就绪检查时使用。

H

hybrid-cloud-networking

wshobson / agents

使用 VPN 和专用连接，配置本地基础设施与云平台之间安全、高性能的连接。适用于构建混合云架构、将数据中心连接到云端，或实现安全的跨站点网络。

运行完整的 Spring Boot 验证流程——Maven 或 Gradle 构建、SpotBugs、PMD 和 Checkstyle 静态分析、带 JaCoCo 覆盖率的单元测试和 Testcontainers 集成测试、OWASP 依赖项与密钥扫描，以及差异审查——并生成通过/失败就绪报告。在准备 Spring Boot 拉取请求、验证覆盖率阈值或执行部署前验证时使用。

P

pci-compliance

wshobson / agents

实施 PCI DSS 合规要求，确保安全处理支付卡数据和支付系统。适用于保障支付处理安全、实现 PCI 合规或实施支付卡安全措施。

M

mtls-configuration

wshobson / agents

为零信任服务间通信配置双向 TLS（mTLS）。适用于实现零信任网络、证书管理或保护内部服务通信。

A

aws-iam

aws / agent-toolkit-for-aws

提供经验证的修正，解决 AI Agent 常见的 IAM 行为误区，包括策略评估边缘情况、信任策略注意事项、STS 会话限制、Organizations 特殊情况，以及 SAML/MFA 细节。还提供 IAM 角色管理的结构化工作流，以及根据应用源代码或 Terraform plan JSON 生成基线策略的工作流。涵盖条件运算符安全性（配合 Null 检查使用 ForAnyValue/ForAllValues）、存储桶策略拒绝模式（VPC 端点限制、组织路径）、混淆代理防护，以及为 AWS 服务（Glue、CloudTrail、Lambda、ECS 等）创建包含 aws:SourceAccount/aws:SourceArn 信任条件的服务角色。创建 IAM 角色、编写 IAM 或存储桶策略、根据应用源代码或 Terraform plan JSON 生成策略、使用 STS、Organizations 或条件运算符，或处理任何需要服务角色或执行角色的任务时适用。不涵盖非 IAM 授权，例如 Cognito 用户池策略或应用级 RBAC。

A

ai-prompt-engineering-safety-review

github / awesome-copilot

全面的 AI 提示词工程安全审查与改进提示词。分析提示词的安全性、偏见、安全漏洞和有效性，并提供详细的改进建议，涵盖丰富的框架、测试方法和教育内容。

L

linkerd-patterns

wshobson / agents

实现 Linkerd 服务网格模式，用于构建轻量且注重安全性的服务网格部署。在设置 Linkerd、配置流量策略或以最低开销实现零信任网络时使用。

C

ctf-reverse

ljagiello / ctf-skills

为 CTF 挑战提供逆向工程技术。当主要任务是在利用或解决问题前，了解编译、混淆、加壳或虚拟化目标的工作方式时使用，包括二进制文件、APK、WASM、固件、自定义 VM、字节码、游戏客户端、类似恶意软件的加载器以及反调试或反分析逻辑。当漏洞已明确且剩余任务是漏洞利用时不要使用；改用 pwn。不要用于纯 Web 工作流、日志或磁盘取证，或独立的密码学问题，除非逆向实现确实是主要障碍。

全面涵盖污点模式、输入验证、安全进程执行、DBI 参数化查询、Web 安全（XSS/SQLi/CSRF）和 perlcritic 安全策略的 Perl 安全指南。适用于审查 Perl 输入处理、进程执行、DBI 查询或面向 Web 的代码。

U

use-link-identity

stripe / link-cli

当服务要求 Link Agent Attestation Token (AAT) 或电子邮件等已签名用户声明时，使用 Link CLI 的身份命令。涵盖获取和管理证明、取得身份凭证，以及通过 HTTP 客户端或浏览器自动化向验证方提交选定的声明。

C

code-review

anthropics / knowledge-work-plugins

审查代码更改的安全性、性能和正确性。提供 PR URL 或差异内容，或提出“合并前帮我审查一下”“这段代码安全吗？”，以及检查更改中的 N+1 查询、注入风险、遗漏的边界情况或错误处理缺陷时触发。

C

ctf-web

ljagiello / ctf-skills

为 CTF 挑战提供 Web 漏洞利用技术。当目标主要是 HTTP 应用、API、浏览器客户端、模板引擎、身份验证流程或智能合约前后端界面时使用，包括 XSS、SQLi、SSTI、SSRF、XXE、JWT、认证绕过、文件上传、请求走私、OAuth/OIDC、SAML、原型污染及类似 Web 漏洞。不要用于原生二进制内存破坏、独立可执行文件逆向、磁盘或内存取证，或纯密码分析；除非 Web 漏洞仍是获取 flag 的主要途径。

A

agent-governance

github / awesome-copilot

为 AI Agent 系统添加治理、安全和信任控制的模式与技术。适用于：构建调用外部工具（API、数据库、文件系统）的 AI Agent；为 Agent 工具使用实施基于策略的访问控制；添加语义意图分类以检测危险提示词；为多 Agent 工作流创建信任评分系统；构建 Agent 操作和决策的审计跟踪；对 Agent 强制实施速率限制、内容过滤或工具限制；使用任何 Agent 框架（PydanticAI、CrewAI、OpenAI Agents、LangChain、AutoGen）。

S

semgrep

trailofbits / skills

对代码库运行 Semgrep 安全扫描：检测语言、选择规则集、提交扫描计划以供明确审批，然后通过 scripts/run-scans.sh 运行所有获批的规则集。该脚本会批量运行 semgrep 进程、写入 scans.json，并将输出合并为 SARIF。支持两种扫描模式：“run all”覆盖全部规则集；“important only”查找置信度和影响均为中到高的安全问题。如可用，则使用 Semgrep Pro 进行跨文件污点分析。用户要求扫描代码漏洞、使用 Semgrep 进行安全审计、查找缺陷或执行静态分析时使用。若要执行相同扫描但跳过审批环节，请使用 /static-analysis:semgrep-scan 工作流。

Laravel 项目的验证流程：环境检查、Lint、静态分析、带覆盖率的测试、安全扫描和部署就绪检查。在合并或部署前验证 Laravel 项目时使用，包括 Lint、静态分析、测试、覆盖率和安全检查。

C

ctf-pwn

ljagiello / ctf-skills

提供 CTF 挑战的二进制利用技术。已有存在漏洞的原生目标或服务，并需要将内存破坏或底层原语转化为代码执行或权限提升时使用，例如缓冲区溢出、格式字符串、堆漏洞、ROP、ret2libc、shellcode、内核利用、seccomp 绕过、沙箱逃逸或 Windows/Linux 漏洞利用链。若主要障碍是理解二进制程序的功能，请勿使用；应先进行逆向工程。不要用于纯 Web 漏洞、磁盘或数据包取证，或独立的密码学/数学挑战。

A

azure-role-selector

github / awesome-copilot

当用户询问应根据所需权限为某个身份分配哪个角色时，此 Agent 会帮助他们了解满足要求且权限最小的角色，以及如何应用该角色。

面向医疗应用的受保护健康信息（PHI）和个人身份信息（PII）合规模式：数据分类、行级访问控制、防篡改审计跟踪、架构标记，以及日志、URL 和浏览器存储等常见泄露途径。适用于代码涉及患者或临床人员数据、实施 HIPAA 或 GDPR 访问控制，或审计医疗系统的数据暴露情况。

C

ctf-crypto

ljagiello / ctf-skills

为 CTF 挑战提供密码学攻击技巧。适用于攻击加密、哈希、签名、ZKP、PRNG，或涉及 RSA、AES、ECC、格、LWE、CVP、数论、Coppersmith、Pollard、Wiener、填充预言机、GCM、密钥派生，或流／分组密码弱点的数学密码学问题。

通过三种模式防范破坏性操作：Careful 会拦截危险命令（rm -rf、git push --force、DROP TABLE）并要求确认；Freeze 会锁定对单个目录的写入；Guard 则结合两者。注意：这些规则由 Agent 自行执行；该工具不附带任何钩子。在生产系统上工作、自动运行 Agent、限制对某个目录的编辑，或进行迁移、部署和数据变更时使用。

引导程序指针，用于从固定且可审查的提交安装外部 repo-scan 技能。当运行跨技术栈源代码资产审计前必须先安装 repo-scan 时使用；此 ECC 指针本身不会执行审计。

C

ctf-osint

ljagiello / ctf-skills

为 CTF 挑战提供开源情报技术。适用于从公开来源、社交媒体、地理位置、DNS 记录收集信息，枚举用户名、反向图片搜索、Google dorking、查询 Wayback Machine、Tor 中继、FEC 备案，或识别哈希和坐标等未知数据。

C

ctf-forensics

ljagiello / ctf-skills

为 CTF 挑战提供数字取证与信号分析技术。适用于分析磁盘镜像、内存转储、事件日志、网络抓包、加密货币交易、隐写术、PDF 分析、Windows 注册表、Volatility、PCAP、Docker 镜像、coredump、侧信道功耗轨迹、DTMF 音频频谱图、数据包时序分析、CD 音频光盘镜像，以及恢复已删除的文件和凭据。

在代码仓库中寻找可利用且值得提交漏洞报告的安全问题。重点关注可从远程触达、符合实际报告条件的漏洞，而非嘈杂的本地问题。在仓库中搜寻可报告且可远程触达的漏洞时使用。

用于医疗应用部署的患者安全评估框架。提供 CDSS 准确性、PHI 泄露、临床工作流完整性和集成合规性的自动化测试套件。在安全测试失败时阻止部署。当医疗部署必须通过 CDSS 准确性、PHI 泄露和工作流完整性的患者安全测试门禁时使用。

D

differential-review

trailofbits / skills

对代码变更执行以安全性为重点的差异审查。根据代码库规模调整分析深度，使用 git blame 获取上下文，通过统计调用方计算影响范围，检查修改代码的测试覆盖率，并生成 Markdown 报告。适用于审查 PR、提交或差异中的安全漏洞，检查变更是否重新引入已修复的错误，了解变更还可能破坏什么，或找出哪些修改代码没有测试覆盖。

Q

query-token-audit

binance / binance-skills-hub

代币安全审计，可在交易前发现骗局、蜜罐和恶意合约。返回全面的安全分析，涵盖合约风险、交易风险和骗局检测。当用户询问“这个代币安全吗？”“检查代币安全”“审计代币”，或在任何兑换之前使用。

S

solve-challenge

ljagiello / ctf-skills

通过初步分诊、识别主要类别，并将执行交由合适的专用 ctf-* 技能来解决 CTF 挑战。适用于用户提供挑战文件包、远程服务、可疑文件，或仅给出模糊的挑战描述，而你需要判断从何处入手的情况。如果类别已明确且可直接调用专用技能，则不要使用；此技能是调度器和侦察入口，而非类别专属技术的深入参考。

拥有钱包或交易权限的自主交易 Agent 的安全模式。涵盖提示词注入、支出限额、发送前模拟、断路器、MEV 防护和密钥处理。适用于自主 Agent 持有钱包或交易权限，且需要审查其限额、模拟机制或密钥处理方式。

C

ctf-misc

ljagiello / ctf-skills

为难以明确归入主要类别的题目提供各种 CTF 挑战技巧。适用于编码谜题、pyjails、bash jails、RF/SDR、DNS 异常、Unicode 技巧、深奥语言、二维码或音频谜题、约束求解、博弈论、非常规沙箱逃逸和混合逻辑谜题。如果挑战主要属于 Web、pwn、逆向、取证、恶意软件、OSINT 或密码学，应优先使用更具体的技能。仅将此技能作为真正跨类别或边缘案例挑战的后备选项，而非默认起点。

开源发布流程：分叉、清理并打包私有项目，以便安全地公开发布。串联 3 个 Agent（forker、sanitizer、packager）。触发词：'/opensource'、'open source this'、'make this public'、'prepare for open source'。当私有项目需要分叉、移除机密信息并打包以供公开发布时使用。

A

api-security-best-practices

sickn33 / agentic-awesome-skills

实现安全的 API 设计模式，包括身份验证、授权、输入验证、速率限制，以及防范常见的 API 漏洞

医疗保健隐私与安全工作的 HIPAA 专用入口。任务明确涉及 HIPAA、PHI 处理、受监管实体、BAA、数据泄露态势或美国医疗保健合规要求时使用。