Skills

S

sf-security

clientell-ai / salesforce-skills

审计 Apex 代码中的 CRUD/FLS 违规、共享规则合规性、SOQL 注入风险以及 PII 暴露。扫描整个代码库，查找会导致 AppExchange 审核失败的安全问题。适用于被问及安全审核、AppExchange 审核就绪度、CRUD/FLS 审计、漏洞扫描或代码安全时。当提及 "security audit"、"AppExchange"、"CRUD/FLS"、"stripInaccessible"、"with sharing" 或 "security review" 时激活。

T

terraform-review

c0x12c / ai-toolkit

Terraform 变更的 PR 审查清单，涵盖结构、状态安全、安全、命名、模块、变量、provider 和 CI/CD。适用于审查 Terraform PR 或做合并前检查时。

W

writing-rules

athola / claude-night-market

用 markdown 创建行为规则，以阻止危险命令或限制 AI 行为。在添加安全护栏或阻止特定命令时使用。

Y

yakit-ui-binding

yaklang / yak-skills

yak 脚本与 Yakit UI 交互机制专题。讲清 yakit.* 库函数如何通过 gRPC ExecResult 流驱动界面渲染： yakit.Info/Warn/Error/Success 日志输出、yakit.SetProgress 进度条、yakit.NewTable/EnableTable/TableData 表格（静态 vs 动态）、yakit.NewLineGraph/NewBarGraph/NewPieGraph/NewWordCloud 图表、yakit.StatusCard 状态卡片、yakit.EnableWebsiteTrees 网站树、yakit.EnableText/TextTabData 文本标签页、yakit.Output 统一输出通道、以及从前端 useHoldGRPCStream 消费 ExecResult 到渲染 UI 的完整链路。当用户问"脚本怎么让 Yakit 显示表格/图表/进度条/卡片"或"yakit.Info 输出到哪里了"时使用。

C

code-reviewer

404kidwiz / claude-supercode-skills

擅长以质量为核心、并强调安全的代码审查。用于审查代码变更、执行安全审计、识别缺陷、确保代码质量和可维护性，或分析拉取请求中的问题。

F

frida-codeshare-search

rudra-ravi / frida-skills

用 curl 搜索 Frida CodeShare，提取项目元数据和脚本源码，审阅代码片段，并把脚本转换为本地 Agent 或命令。

F

frida-script-review

rudra-ravi / frida-skills

在运行 CodeShare 片段、通用绕过、宽泛钩子、原生指针代码、Java 钩子或 ObjC 钩子之前，审查、加固并简化 Frida 脚本。

G

go-security-audit

eduardo-sl / go-agent-skills

Go 应用的安全审查：输入验证、SQL 注入、认证/授权、密钥管理、TLS、OWASP Top 10 以及安全编码模式。在执行安全审查、检查漏洞、加固 Go 服务或审查认证实现时使用。触发示例：「security review」「check vulnerabilities」「OWASP」「SQL injection」「input validation」「secrets management」「auth review」。不要用于依赖项 CVE 扫描（使用 go-dependency-audit）或并发安全（使用 go-concurrency-review）。

I

implementing-api-threat-protection-with-apigee

mukul975 / anthropic-cybersecurity-skills

使用 Google Apigee 反向代理实现 API 威胁防护

I

integrate-arcjet-guard-openai-agents-py

arcjet / skills

将 Arcjet Guard 集成到 Python OpenAI Agents 中——用 guard_tool 包装 FunctionTool / function_tool，并通过 openai_agents_context 读取调用方持有的会话或对话 id。当被要求向 openai-agents、Runner.run 添加 Arcjet，对这些工具做速率限制，筛查入站消息，或拦截提示词注入 / PII 时使用。这是 Python openai-agents，不是 JS 的 @openai/agents 适配器。

J

java-development-manual

full-stack-skills / java-skills

Java 开发手册规约集合，基于阿里巴巴 Java 开发手册（嵩山版）。涵盖 7 大维度：编程规约、异常日志、单元测试、安全规约、MySQL 数据库、工程结构、设计规约。当用户需要：(1) 编写或审查 Java 代码 (2) 检查命名/代码规范 (3) 处理异常和日志 (4) 编写单元测试 (5) 安全编码 (6) 数据库设计 (7) 工程架构设计时使用此 skill。触发词：Java 规范、阿里规约、代码规范、开发手册、编程规约、异常处理、单元测试、安全、MySQL、工程结构、设计模式。

O

okta

membranedev / application-skills

Okta 集成。管理用户。适用于用户希望与 Okta 数据交互的场景。

O

owasp-mcp

microsoft / hve-core

用于识别、评估和修复 Model Context Protocol 安全风险的 OWASP MCP Top 10 知识库。

R

reviewing-claude-config

bitwarden / ai-plugins

审阅 Claude 配置文件的安全性、结构和提示词工程质量。当审阅对 CLAUDE.md、Agent、提示词、命令、钩子或设置的更改时使用。将每种文件类型路由到针对性的审阅技能，并返回分类后的发现。标记出现在变更集中的 settings.local.json、硬编码密钥、格式错误的 YAML、不安全的 Agent 工具访问以及不安全的钩子命令。不审阅 SKILL.md 文件——由 plugin-dev:skill-reviewer 负责。

R

revx-auth

revolut-engineering / revolut-x-api

Revolut X CLI 的安装与认证。当用户要求"install revx"、"set up Revolut X"、"configure API keys"、"generate keypair"、"set passkey"、"revx configure"，或需要认证错误方面的帮助时使用。

R

rust-web-security

full-stack-skills / rust-skills

对 Rust Web 安全进行威胁建模、实现、审查和测试，涵盖身份验证、对象与租户授权、会话、cookie、JWT 和 OIDC 验证、CSRF、CORS、SSRF、输入限制、密钥、加密依赖边界、审计日志以及负面安全测试。当用户要求保护或审计 Rust Web 服务、令牌、浏览器传输、多租户访问、密钥处理或安全事件修复时使用。

S

security-threat-model

lyndonkl / claude

使用 STRIDE 方法、信任边界映射和纵深防御原则，系统地识别处理敏感数据的系统中的漏洞、威胁与缓解措施。在设计或审查涉及 PII/PHI/财务/认证数据的系统、构建安全敏感功能（认证、支付、文件上传、API）、准备审计或合规（PCI、HIPAA、SOC 2）、调查事件或集成第三方服务时使用。当用户提到威胁模型、STRIDE、信任边界、攻击面或安全审查时使用。

S

sf-apex

clientell-ai / salesforce-skills

为 Salesforce 生成并审查 Apex 代码，关注 governor limit、批量化模式以及 CRUD/FLS 合规。适用于编写 Apex 类、触发器、批处理作业、可排队作业，或按最佳实践和反模式审查现有 Apex 代码时。在 .cls 文件、提到 "Apex"、"trigger"、"batch job"、"queueable" 或 "Salesforce class" 时激活。

S

src-hunter

zhaoxuya520 / reverse-skill

实战 SRC / 众测 / Bug bounty 漏洞挖掘工作流 skill。包含：5 阶段方法论（intake → recon → enum → hunt → report）、19 个攻击类 playbook（SQLi/XSS/RCE/SSRF/IDOR/CSRF/Path Traversal/File Upload/SSTI/XXE/Race/HTTP Smuggling/OAuth/JWT/SAML/GraphQL/Mobile/LLM/DoS）、305 个结构化 payload、263 个 WAF/EDR 绕过变体、2887 份 HackerOne 真实 High/Critical 已披露案例、77,000+ WooYun 案例统计、国产 OA / 中间件指纹库、银行 / 电信行业垂直 playbook。当用户提到 "src 挖洞 / src 漏洞挖掘 / bug bounty / 众测 / hackerone / 漏洞赏金 / SRC / 任意 X 漏洞 / 渗透测试" 或问"如何挖某个目标 / 怎么测某个 API / 如何绕过 WAF" 时触发。

T

thermo-run

gannonh / skills

并行启动两个 thermo-nuclear 审查子 Agent，然后综合其发现。适用于 thermos、double thermo review，或同时进行 bug/安全和代码质量的分支审计

A

aif-security-checklist

lee-to / ai-factory

基于 OWASP Top 10 和最佳实践的安全审计清单。涵盖认证、注入、XSS、CSRF、密钥管理等。适用于审查安全性、部署前检查，以及询问"这安全吗"、"安全检查"、"漏洞"时。

B

better-auth

oakoss / agent-skills

可自托管的 TypeScript 认证框架，支持社交登录、2FA、passkey、组织、RBAC 以及 15 个以上插件。支持 Drizzle/Prisma/Kysely 适配器。是 Clerk/Auth.js 的可自托管替代方案。使用场景：配置认证、添加插件、社交 OAuth、多租户 SaaS、带团队和 RBAC 的组织、双因素认证（TOTP/OTP/备用码）、邮箱验证、密码重置流程、会话管理、速率限制、CSRF 和 cookie 安全、Expo/移动端、D1 适配器错误、TanStack Start 集成、additionalFields 缺陷、admin 插件、从 NextAuth 迁移、从 Clerk 迁移、从 Supabase Auth 迁移，或排查认证问题。

B

box-legal-workflows-ma

box / skills

使用 Box MCP 构建和管理 M&A 虚拟数据室——创建安全的尽职调查文件夹结构，为内部团队和外部各方划定基于角色的访问权限，在共享前验证权限，并用 Box AI 回答跨文档的尽职调查问题。当用户提到 M&A、交易室、数据室、VDR、尽职调查或并购时使用本技能。

C

ciso-advisor

borghei / claude-skills

面向成长期公司的安全领导力。适用于构建安全项目、选择合规框架（SOC 2、ISO 27001、HIPAA、GDPR）、管理安全事件或评估供应商风险。

E

extracting-credentials-from-memory-dump

mukul975 / anthropic-cybersecurity-skills

从内存转储中提取缓存的凭据、密码哈希、Kerberos 票据以及

F

frida-setup-checklist

rudra-ravi / frida-skills

准备并验证 Frida 环境，包括主机工具、Android frida-server、iOS 设置、USB 或远程传输、版本匹配和冒烟测试。

G

generating-and-analyzing-sboms

mukul975 / anthropic-cybersecurity-skills

使用 Syft 从容器镜像和文件系统生成 CycloneDX 和 SPDX SBOM，用 Grype 将它们与 CVE 关联，并用 Cosign 对其进行签名/证明。当你需要用于供应链风险的机器可读依赖清单、想要扫描镜像或 SBOM 以查找已知漏洞，或将 SBOM 生成和漏洞门禁嵌入 CI/CD 时使用。

I

integrate-arcjet-guard-claude-agent-sdk-py

arcjet / skills

将 Arcjet Guard 集成到 Python Claude Agent SDK —— 用 guard_tool 包装已编写的 @tool，并使用 guard_hooks 处理 UserPromptSubmit 入站以及未包装的内置工具 / MCP 上的 PreToolUse。当被要求向 claude-agent-sdk 添加 Arcjet、对这些工具做限流、筛查入站提示词或阻止提示词注入 / PII 时使用。这是 Python 版 claude-agent-sdk，不是 JS 适配器，也不是 Claude Managed Agents 托管会话。

I

integrate-arcjet-guard-crewai

arcjet / skills

将 Arcjet Guard 集成到官方 CrewAI 中——通过 register_arcjet_hooks 注册进程级的 PRE_TOOL_CALL，或使用 guard_tool 包装你自行调用的独立 BaseTool。当被要求向 CrewAI、LiteAgent、注入 crew 的工具添加 Arcjet，对这些工具做速率限制，在 kickoff 前筛查入站消息，或拦截提示词注入 / PII 时使用。仅限官方 crewai；不是 npm 上的 CrewAI 移植版，也不是 LangChain Crew 包装器。

I

investigation

danielmiessler / lifeos

OSINT 与调查，包括人物搜索、公司情报、域名查询、社交媒体发现和威胁情报。USE WHEN OSINT、due diligence、company intel、background check、find person、people search、domain lookup、entity lookup、threat intel、who is。

S

security-review-construction

datadrivenconstruction / ddc_skills_for_ai_agents_in_construction

面向建筑软件系统的安全审查清单。适用于为建筑项目构建集成、API、数据管道或仪表盘时。

S

security-review

yeachan-heo / oh-my-codex

已弃用的独立安全审查 skill

S

sql-injection-prevention

dengineproblem / agents-monorepo

SQL injection 防护专家。用于参数化查询、输入验证和数据库安全。

U

unified-review

athola / claude-night-market

在单次执行中协调多领域评审（代码、架构、测试、安全）。在需要发布前彻底评审时使用。

A

alert-logic

membranedev / application-skills

Alert Logic 集成。管理数据与记录，并自动化工作流。适用于用户希望与 Alert Logic 数据交互的场景。

暂无简介

B

blockchain-web3

travisjneuman / .claude

Solidity 智能合约、Web3 开发、DeFi 协议、NFT、EVM 链、Hardhat/Foundry 工具链以及区块链安全。在编写智能合约、构建 dApp、审计合约安全或集成 Web3 钱包时使用。

C

clarity-check

aibtcdev / skills

清晰度部署前验证——语法检查、废弃关键字检测、发送者检查分析、错误传播审查以及测试验证。

C

configuring-windows-event-logging-for-detection

mukul975 / anthropic-cybersecurity-skills

配置 Windows 事件日志记录与高级审核策略以生成

F

frida-tools-reference

rudra-ravi / frida-skills

选择并运行合适的 Frida 命令行工具，包括 frida、frida-ps、frida-ls-devices、frida-trace、frida-discover、frida-kill 和 frida-create。

H

human-in-the-loop

seb1n / awesome-ai-agent-skills

为 AI Agent 工作流设计并验证可审计的人工监督、审批门禁、升级路径和安全状态转换。适用场景：判断哪些 Agent 操作需要审核、添加批准/拒绝或双重控制流程、防止未经授权的自主效应、创建决策记录、减少橡皮图章式审批，或在操作被拒绝、过期或失败后安全恢复。

P

pp-github-intel

mvanhorn / printing-press-library

用于 Github Intel 的 Printing Press 命令行。面向 Agent 研究的公开 GitHub 仓库、发布、搜索和安全公告信号。

P

product-audit

gtrabanco / agentic-workflow

跨代码、质量、流程、文档、路线图和工具链审计整个产品；它负责全仓库范围的缺陷排查、安全研究和损坏版本调查（按维度限定范围和预算，与 `review-change` 的变更范围审查不同）。输出一份按严重程度排序、带 F 编号并附建议的报告；绝不修复或提交工作项。触发词："product-audit"、"audit the product"、"full health check"、"are we product-ready"、"CTO review"。

P

publish-skill

aperivue / medsci-skills

适用于将个人 Agent skill 转化为开源、可分发的版本。执行 PII 审计、泛化个人信息、检查许可证兼容性、审查跨平台适配器，并引导完成打包。

S

secrets-management

unitoneai / securityskills

依据 OWASP Secrets Management Cheat Sheet 与 NIST SP 800-57 Part 1 Rev 5（密钥管理建议）执行结构化的密钥管理审查。在审查密钥处理模式、vault 配置、.env 文件或凭据轮换策略时自动调用。产出一份密钥管理评估，涵盖检测模式、轮换自动化、vault 集成以及 Agent 专属的凭据处理。

S

security-alert-review

microsoft / azure-devops-skills

列出并审查 Azure DevOps 仓库的 Advanced Security 警报。展示依赖漏洞、密钥泄露和代码扫描发现，可按严重性、状态和警报类型筛选。

S

security-hardening

mn-youssef / security-skills

当你发现安全问题（来自代码审计或渗透测试）并需要用安全编码模式正确修复，然后验证修复确实关闭了该问题时使用。涵盖全栈中注入、访问控制、XSS、认证、密钥和配置的修复。

S

security-vite

igorwarzocha / opencode-workflows

审查 Vite 针对 SPA 与开发服务器安全的审计模式。用于审计 VITE_* 变量暴露、构建期密钥与代理配置。在审查 Vite 应用（存在 vite.config.ts）时主动使用。示例： - user: "Audit Vite env vars" → 检查带 VITE_ 前缀的密钥 - user: "Check Vite build config" → 验证 define 块与 source map - user: "Review Vite dev server" → 检查 host 绑定与代理安全 - user: "Scan Vite bundles" → 在 dist/ 中搜索泄露的 API key 或密钥 - user: "Audit Vite SPA auth" → 验证服务端认证与客户端路由守卫

S

smart-contract-development

vechain / vechain-ai-skills

在 VeChainThor 上进行 Solidity 智能合约开发——Hardhat 配置、ERC-20/721 模式、可升级合约、gas 优化、使用 Thor Solo 测试、安全审计与 ABI 代码生成。

S

static-security

verygoodopensource / vgv-ai-flutter-plugin

面向 Flutter 移动应用和 Dart 代码的静态安全审查：硬编码密钥、不安全存储、不安全网络调用、日志泄露、存在漏洞的依赖项。适用于审查或编写涉及密钥、用户数据、网络通信、认证或加密的代码，或在登录、注册、支付表单中的用户输入到达仓库或 API 之前为其添加验证时。也适用于被要求实现不安全改动而非审查它时：将 API key 移至 --dart-define、String.fromEnvironment、.env 文件或 CI secrets，或"我们的审查者标记了这一行"。还适用于依赖项漏洞审查，以及从不提及"security"的安全审计：pubspec 是否可以安全发布、检查依赖项的已知漏洞或 CVE、ignored_advisories 条目，或我们暴露于其中的固定版本。

T

tauri

epicenterhq / epicenter

Tauri 命令、权限、能力、安全配置、路径处理、跨平台文件操作以及原生文件系统 API。在提及 Tauri、桌面应用、Rust 命令、invoke、capabilities、permissions、ResourceId、文件路径或平台差异时使用。

T

threat-mitigation-mapping

rmyndharis / antigravity-skills

将已识别的威胁映射到适当的安全控制和缓解措施。用于确定安全投入的优先级、制定补救计划或验证控制措施的有效性

W

wooyun-legacy

trailofbits / skills-curated

提供源于 WooYun 漏洞数据库（2010-2016）88,636 个真实案例的 Web 漏洞测试方法论。适用于执行渗透测试、安全审计、安全缺陷代码审查或漏洞研究。涵盖 SQL 注入、XSS、命令执行、文件上传、路径遍历、未授权访问、信息泄露和业务逻辑缺陷。

1

1password

membranedev / application-skills

1Password 集成。管理数据、记录并自动化工作流。当用户希望与 1Password 数据交互时使用。

A

ai-governance-checklist

metabase / agent-skills

Metabase AI 治理教练，涵盖 AI 的*控制与推广*层面：谁可以使用 Metabot、它能看到什么、成本是多少、模型在哪里运行，以及审计轨迹。当用户想要安全地推广 AI 分析、控制谁可以使用 Metabot 或它能看见什么、设置 AI 的支出或 token 上限、限制 Metabot 的系统提示词、审计 AI 使用情况、评估 AI 的 bring-your-own model 或自托管方案，或为 AI 功能的安全审查做准备时，使用此技能。即使用户只是在 Metabase 语境下说 "how do we control AI access"、"can we limit what Metabot sees"、"we need an AI security review" 或 "run the AI governance checklist"，也要触发它。**不适用此技能**的情形：问题涉及底层数据是否已建模、有文档记录且足够可信以供 AI 使用——Transforms、元数据、Glossary、Metrics、Library——那是 `ai-readiness-checklist`。粗略判断：此技能关注谁有权把 AI 指向数据；那个则关注数据是否足够好。

A

audit-xcode-security-settings

adithyani / agents

审计并启用以安全为导向的 Xcode 构建设置。逐步启用编译器警告、静态分析器检查器和 Enhanced Security 功能。适用于：用户希望保护其 Xcode 项目、审计安全设置、启用加固、审查构建配置的安全态势、设置以安全为中心的静态分析、启用静态分析、提高警告覆盖率、加固诊断，或在 C/C++/Objective-C/Swift 编译时捕获更多 bug。跳过：网络安全（TLS/ATS）、代码签名、隐私 API。

A

auditing-foundry-smart-contract-security

mukul975 / anthropic-cybersecurity-skills

在 Foundry 项目中对 Solidity 智能合约进行部署前安全审计。结合静态分析（Slither、Aderyn）、符号执行（Mythril）和基于属性的测试（forge fuzz + 带 handler 的不变量测试），在部署到 EVM 链之前捕获重入、访问控制、预言机/价格操纵和算术错误。同时强制实施密钥卫生（无私钥明文、加密的 cast keystore）和安全的部署工作流。适用于编写、审查、测试或部署 Solidity/Foundry 合约、构建 dApp，或使用 forge/cast/anvil、MetaMask 或 Web3/DeFi 代码的场景。

B

backend-principle-eng-cpp-pro-max

praxstack / skills-and-personas

面向 C++ 系统和对性能要求苛刻的服务的主后端工程智能。操作：规划、设计、构建、实现、审查、修复、优化、重构、调试、加固、扩展后端代码和架构。关注点：正确性、内存安全、延迟、可靠性、可观测性、可扩展性、可运维性。

C

code-review

shipshitdev / skills

审查 PR 或 diff 的正确性、安全性和规格一致性，包括 TypeScript、数据库安全、测试和开关泄漏。用于 /code-review 或 is this safe to merge

暂无简介