Skills

T

twilio-verify

alphaonedev / openclaw-graph

Verify：2FA 短信/语音/邮件、TOTP、手机验证、Verify Guard 欺诈防范、SNA

V

vibe-security

0x8506 / vibe-security

面向代码分析的安全情报。检测 SQL 注入、XSS、CSRF、身份验证问题、加密缺陷等。操作：scan、analyze、fix、audit、check、review、secure、validate、sanitize、protect。语言：JavaScript、TypeScript、Python、PHP、Java、Go、Ruby。框架：Express、Django、Flask、Laravel、Spring、Rails。漏洞：SQL 注入、XSS、CSRF、身份验证绕过、授权问题、命令注入、路径遍历、不安全反序列化、弱加密、敏感数据泄露。主题：输入验证、输出编码、参数化查询、密码哈希、会话管理、CORS、CSP、安全响应头、速率限制、依赖扫描。

W

waratek

membranedev / application-skills

Waratek 集成。管理数据、记录并自动化工作流。当用户需要与 Waratek 数据交互时使用。

W

wp-gravity-smtp

kylebrodeur / wordpress-agent-kit

在使用 Gravity SMTP 时使用：通过 SendGrid、Mailgun、Postmark、Brevo、SES 或自定义 SMTP 安装、配置或排查 WordPress 事务性邮件投递。关键：务必验证版本 ≥ 2.1.5，以防 CVE-2026-4020 通过未认证的 REST 端点泄露 API 密钥。

X

xss-html-injection

zebbern / claude-code-guide

当用户要求“测试 XSS 漏洞”“执行跨站脚本攻击”“识别 HTML 注入缺陷”“利用客户端注入漏洞”“通过 XSS 窃取 Cookie”或“绕过内容安全策略”时使用此技能。它提供在 Web 应用中检测、利用和理解 XSS 与 HTML 注入攻击途径的全面技术。

A

agenix-secrets

edmundmiller / dotfiles

在这个 dotfiles 仓库中创建、编辑并接入 agenix 加密的 secrets。当向 NixOS 主机配置添加 API key、token、凭据、密码或任何敏感值时使用。触发短语："add a secret"、"encrypt with agenix"、"new age secret"、"hide this value"、"agenix secret"。

A

agent-security

wgpsec / aboutsecurity

AI Agent 系统安全测试方法论。当目标系统使用 AI Agent 执行工具调用、多 Agent 协作、 或自主决策时触发。覆盖 OWASP Agentic AI Security Top 10 (ASI01-ASI10): 目标劫持、工具滥用、身份权限、供应链、代码执行、记忆投毒、多 Agent 通信、 级联故障、人机信任利用、失控 Agent。

A

agentic-actions-auditor

waybarrios / opencode-power-pack

审计运行 AI Agent 的 GitHub Actions，检查提示词注入、不安全插值、沙箱缺口和过宽的 actor 规则。适用于 agentic CI 工作流，而非一般应用代码审查。

A

alibabacloud-sas-install-agent

aliyun / alibabacloud-aiops-skills

阿里云安全中心（SAS）Agent 接入与管理助手。当用户希望将服务器接入安全中心、安装安全 Agent、部署云安全防护、通过代理连接、排查 Agent 离线或安装失败、创建预装 Agent 的镜像模板、查看安全中心版本与到期时间、检查授权配额、升级或切换服务器防护版本、开关按量付费功能模块、从服务器卸载安全中心 Agent、查找安装了特定软件（如 Nginx、MySQL、Redis）的服务器，或检测安全风险（漏洞扫描、基线检查、安全告警查询）时，使用本技能。

A

analyzing-phishing-emails

trilwu / secskills

安全地分诊并取证分析已报告的钓鱼邮件：提取原始邮件、查看 Received 链、验证 SPF/DKIM/DMARC、检测显示名称欺骗和相似域名仿冒、解开重定向及 SafeLinks/URLDefense、解码二维码钓鱼二维码、分诊附件，并提取用于威胁搜寻的 IOC。适用于收到已报告的钓鱼邮件、可疑的 .eml 或 .msg 文件、待分析的邮件头、需要分诊的恶意附件或链接，或商业邮件入侵和仿冒事件时。

A

api-security-testing

aipentest / cyberstrikeai

面向 AI 原生网络安全的行动系统——将意图转化为受治理的执行，将证据转化为运营记忆，并让每次操作都改进下一次

A

asavie

membranedev / application-skills

Asavie 集成。管理数据、记录并自动化工作流。适用于用户希望与 Asavie 数据交互的场景。

A

auth-js

jackspace / claudeskillz

面向 Next.js 和 Cloudflare Workers 的生产级 Auth.js v5 配置。使用场景：设置身份验证、实现 OAuth/credentials/magic links、配置 D1 或 PostgreSQL 适配器、调试会话问题、从 v4 迁移到 v5、修复边缘兼容性、排查 JWT/数据库会话、解决 AUTH_SECRET 错误、修复 CallbackRouteError，或实现 RBAC。涵盖：Next.js App Router 和 Pages Router、Cloudflare Workers + D1、OAuth 提供商（GitHub、Google 等）、credentials 认证、magic links、JWT 与数据库会话、中间件模式、基于角色的访问控制、令牌刷新、边缘运行时兼容性，以及常见错误的预防。关键词：Auth.js、NextAuth.js、authentication、OAuth、credentials、magic links、D1 adapter、Cloudflare Workers、Next.js middleware、JWT session、database session、refresh tokens、RBAC、edge compatibility、AUTH_SECRET、CallbackRouteError、CredentialsSignin、JWEDecryptionFailed、session not updating、route protection

A

auth-nodejs-cloudbase

tencentcloudbase / cloudbase-ai-toolkit

CloudBase Node SDK 身份验证指南，涵盖服务器端身份识别、用户查询和自定义登录凭证。适用于 Node.js 代码需要读取调用方身份、检查终端用户，或将现有用户系统接入 CloudBase 的情况；不适用于配置提供商或构建客户端登录界面。

A

auth-web-cloudbase

tencentcloudbase / cloudbase-ai-toolkit

CloudBase Web 身份验证快速指南，适用于已检查 auth-tool 后的前端集成。提供简洁实用的 Web 身份验证方案，支持多种登录方式和完整的用户管理。

A

auto-updates

mikr13 / secure-server-setup-skills

审计或配置 Ubuntu/Debian 上的无人值守升级。用于安全更新计划、允许的软件源和重启策略。

B

backup-retention-erasure

mukul975 / privacy-data-protection-skills

在保留计划和删除义务下管理备份与归档数据。涵盖备份删除的技术不可行例外、备份周期与保留期限的对齐、恢复后删除流程，以及备份保留期间的临时保护措施。适用于备份删除、归档删除、备份保留、恢复并删除、技术不可行相关查询。

B

better-auth

jackspace / claudeskillz

面向 TypeScript 的生产级认证框架，原生支持 Cloudflare D1。当需要构建认证系统作为 Clerk 或 Auth.js 的可自托管替代方案时使用此技能，尤其适用于 Cloudflare Workers 项目。支持社交登录提供商（Google、GitHub、Microsoft、Apple）、邮箱/密码、magic link、2FA、passkey、组织与 RBAC。可避免 10 多种常见认证错误，包括会话序列化问题、CORS 配置错误、D1 适配器设置、社交提供商 OAuth 流程以及 JWT 令牌处理。关键词：better-auth、authentication、cloudflare d1 auth、self-hosted auth、typescript auth、clerk alternative、auth.js alternative、social login、oauth providers、session management、jwt tokens、2fa、two-factor、passkeys、webauthn、multi-tenant auth、organizations、teams、rbac、role-based access、google auth、github auth、microsoft auth、apple auth、magic links、email password、better-auth setup、session serialization error、cors auth、d1 adapter

B

blue-team-root

alphaonedev / openclaw-graph

网络安全中用于检测威胁、响应事件和防御系统的基础蓝队技能。

B

bug-bounty

uphiago / recon-skills

漏洞赏金总编排器——完整流程：侦察、狩猎前学习、漏洞狩猎（30+ 类别）、A 到 B 串联、AI/LLM 测试（ASI01-ASI10）、按语言 grep、绕过表，以及报告（七问关卡、CVSS 3.1、人味模板）。适用于任何 bug bounty 任务——启动新目标、侦察、狩猎特定漏洞、源码审计、AI 功能测试或撰写报告。中文触发词：漏洞赏金、安全测试、渗透测试、漏洞挖掘

C

c2-evasion-methodology

wgpsec / aboutsecurity

C2框架免杀方法论：分析 C2 源码、搜索检测规则(YARA/Sigma/Snort)、逐规则分析、修改源码绕过检测。当遇到 YARA/Sigma/Snort 规则触发告警、beacon/implant 被杀软检测到时使用。第一步：确认 implant/beacon 语言和架构；第二步：搜索对应检测规则并逐规则分析修改

C

check-compatibility

runwayml / skills

分析用户的代码库，验证其是否能够使用 Runway 的公共 API（服务端要求）

C

chef-inspec

membranedev / application-skills

Chef InSpec 集成。管理数据、记录并自动化工作流。当用户需要与 Chef InSpec 数据交互时使用。

C

cloud-aksk-exploit

wgpsec / aboutsecurity

云凭据(AK/SK)泄露后的完整利用链。当通过信息泄露/.env文件/git泄露/SSRF元数据获取到云平台 Access Key 和 Secret Key 后使用。当获取到 AWS AKIA*/ASIA*、腾讯云 AKIDz*、阿里云 LTAI* 等凭据格式时使用。覆盖凭据配置→权限枚举→资源接管→后门持久化的完整攻击链。与 cloud-iam-audit（侧重策略分析）互补——本 skill 侧重拿到凭据后的实战利用动作。腾讯云比赛场景的 CAM/COS/CVM/SCF 利用是重点。发现任何云 API 密钥、临时凭据、或 STS Token 时都应使用此 skill

C

cloud-iam-audit

wgpsec / aboutsecurity

云 IAM 权限审计与提权。当获取了云平台凭据（AWS AK/SK、Azure SPN、GCP SA、腾讯云 SecretId/SecretKey）需要评估权限范围和提权路径时使用。覆盖 AWS/Azure/GCP/腾讯云的 IAM/CAM 策略分析、常见提权路径（PassRole、AssumeRole、Lambda/SCF 提权）、跨账号攻击、CloudTrail/CloudAudit 规避。发现任何云凭据、AK/SK、SecretId/SecretKey 时都应使用此技能

C

cloudflare-access-app-setup

mizchi / skills

通过 API 一次性完成 Cloudflare Access 自托管应用的配置——应用 + 邮箱允许列表策略 + 服务令牌。当你想在不使用完整 Pulumi stack 的情况下用 Access 保护 Worker 时使用。

C

cred-spray

wgpsec / aboutsecurity

凭据喷洒与复用攻击。当已收集到用户名/密码/哈希后，需要验证凭据在其他服务/主机上是否有效时使用。覆盖密码喷洒策略（避免锁定）、凭据复用检测、PTH/PTK 攻击。用于扩大控制范围

C

cti-domain-research

security-phoenix-demo / security-skills-claude-code

在 300+ 精选安全域名（BleepingComputer、Hacker News、Krebs、Unit42、Talos、CISA、Mandiant、Rapid7、Securelist 等）中搜索威胁情报、CVE、恶意软件分析、泄露报告和安全研究。每当用户要求：研究某个 CVE 或漏洞、查找安全厂商对某威胁行为者或恶意软件家族的说法、搜索安全博客、查询某主题的威胁情报、查找近期的泄露或勒索软件报告、为 MITRE 技术收集 CTI，或将研究推送到 NotebookLM 时，使用此技能。触发短语如“search security sources”、“find threat intel on X”、“what are vendors saying about Y”、“research CVE-XXXX”、“look up malware Z”、“collect CTI”、“push to NotebookLM”，或任何安全背景下限定域名的 Web 研究请求。

D

data-export-portability-review

sylphxai / skills

为 SaaS、应用、市场、游戏和桌面软件设计和审计数据导出、可移植性、备份交接、账号删除、工作区离职、迁移、机器可读格式、管理员导出和用户信任流程。当用户需要导出、迁移、删除、恢复数据或安全地带走自己的数据时使用。

D

defending-kubernetes

trilwu / secskills

针对实际发生的攻击强化并监控 Kubernetes 集群：RBAC 最小权限和权限提升路径、Pod Security Admission 强制执行、网络策略默认拒绝、机密和服务账户令牌泄露、控制平面和 kubelet 暴露，以及基于审计日志的检测。在审查集群安全状况、响应疑似集群失陷、决定要强制执行和检测的事项，或将 attacking-eks-gke-aks 中的攻击路径转化为防御措施时使用。

D

detecting-exfiltration-over-dns-with-zeek

mukul975 / anthropic-cybersecurity-skills

通过分析 Zeek dns.log 中的高熵来检测基于 DNS 的数据外泄

D

detecting-insider-data-exfiltration-via-dlp

mukul975 / anthropic-cybersecurity-skills

通过分析 DLP 策略违规来检测内部人员数据外泄，

D

detecting-living-off-the-land-attacks

mukul975 / anthropic-cybersecurity-skills

检测被用于离地攻击的合法 Windows 二进制文件（LOLBins）的滥用

E

enterprise-readiness-review

sylphxai / skills

围绕安全审查、SSO、SCIM、RBAC、审计日志、管理员控制、采购、法务、隐私、合规证据、SLA/支持、实施、试点、推广和扩展，审计和设计企业就绪度。当向大型组织销售 SaaS、开发者工具、市场或平台，或准备企业方案时使用。

E

exploiting-memory-corruption

trilwu / secskills

基于原生二进制文件中的内存破坏漏洞开发可用的利用程序：将栈/堆溢出、释放后使用或类型混淆转化为控制流劫持、任意读写和 Shell，并绕过 ASLR、NX、栈 canary、PIE 和 RELRO。适用于针对 ELF/PE 中的崩溃输入或已知漏洞类型构造利用原语、使用 pwntools 和 ROPgadget 构建 ROP 链，或进行 CTF pwn 挑战及授权二进制利用。

F

ffind

brownfinesecurity / iothackbot

高级文件查找工具，具备类型检测和文件系统提取功能，用于分析固件和提取嵌入式文件系统。当你需要分析固件文件、识别文件类型，或提取 ext2/3/4 或 F2FS 文件系统时使用。

F

fmway-threat-model

leomnefa / grupofm-way

用于针对当前工作或新代码构建小型、范围明确的威胁模型，例如一个功能、服务、API 或当前分支的变更。将系统分解为资产、入口点和信任边界，使用 STRIDE 列出威胁，并在可追溯报告中记录缓解措施和残余风险，同时附上数据流图。可单独调用以建模一个组件，也可从其他工作流调用（fmway-dev 在 PRD 或计划之后，fmway-bugs 用于有安全影响的修复），以便在编写或交付代码前揭示威胁。对于新的外部接口、身份验证流程、支付或个人数据，以及信任边界的变更尤其重要。

F

forescout

membranedev / application-skills

Forescout 集成。管理数据、记录并自动化工作流。当用户需要与 Forescout 数据交互时使用。

F

forgerock-to-ping-journey-migration

pingidentity / ping-sdk-agent-skills

在将项目从旧版 ForgeRock SDK（FRAuth、FRSession、forgerock-ios-sdk、forgerock-android-sdk、@forgerock/javascript-sdk）迁移到新的 Ping Identity Journey SDK 时使用。只要用户提到将 ForgeRock 代码迁移、升级、移植或转换到 Ping SDK 就触发——例如 "ForgeRock to Ping migration"、"upgrade FRAuth"、"replace FRSession"、"move off @forgerock/javascript-sdk"、"migrate to @forgerock/journey-client"、"upgrade to Ping Journey SDK"，甚至更模糊的 "help me modernize our ForgeRock auth"。适用于 Android（Kotlin）、iOS（Swift）以及 JavaScript/TypeScript 代码库。会将旧代码保留为注释，使回滚轻而易举，验证应用仍能构建，并写出每处更改的带行号报告。

F

frontend-review-deps

mizchi / skills

在审计依赖健康度时使用——过时的包、结合攻击向量加权的 CVE 分级处置、已弃用/衰退中的库检测（trend-watch）。运行 `audit-deps.sh` 和 `audit-trend-watch.sh`。与 `frontend-review-security` 搭配可得到完整的安全图景。

G

genesis-auth

lwlee2608 / genesis

使用 genesis 脚手架创建的项目需要添加身份验证时使用，包括登录、会话、SSO 和管理员用户。询问身份验证等级（basic/standard/strict），根据需求确定机制，并遵循项目现有惯例就地实现。

H

hashcat-crack

wgpsec / aboutsecurity

使用 hashcat 进行密码哈希离线破解。当获取到密码哈希（NTLM/NTLMv2/Kerberos TGS/AS-REP/SHA/MD5/bcrypt/NetNTLMv2）需要还原明文密码时使用。hashcat 是 GPU 加速的密码破解工具，比 john 快几十倍。覆盖哈希类型识别、字典攻击、规则攻击、掩码攻击、组合攻击。拿到 hashdump/secretsdump/Kerberoast/AS-REP 输出后必用此技能

H

hunting-for-living-off-the-land-binaries

mukul975 / anthropic-cybersecurity-skills

主动搜寻对手对合法的签名系统二进制的滥用

H

hunting-for-registry-persistence-mechanisms

mukul975 / anthropic-cybersecurity-skills

在 Windows 中狩猎基于注册表的持久化机制（MITRE T1547）

I

idnow

membranedev / application-skills

IDnow 集成。管理数据、记录并自动化工作流。当用户需要与 IDnow 数据交互时使用。

I

idor-testing

zebbern / claude-code-guide

当用户要求“测试不安全的直接对象引用”“查找 IDOR 漏洞”“利用访问控制缺陷”“枚举用户 ID 或对象引用”，或“绕过授权访问其他用户的数据”时，使用此技能。它提供在 Web 应用中检测、利用和修复 IDOR 漏洞的全面指导。

I

indykite-authzen-evaluation

indykite / skills

通过 IndyKite AuthZEN REST API（`POST /access/v1/evaluation`）做出单次 KBAC 授权决策——针对一个 (subject, action, resource) 三元组返回布尔值 `decision`，可选地接受逐请求的 `context.input_params`。用于单个是/否问题——"can ada PROVISION gpu-node-7?"、"is this user allowed to delete this document?"、"gate this operation on a live check"，或调试某次决策为何为 false。不用于一次性做大量检查（请用 indykite-authzen-evaluations），不用于枚举哪些 action/resource/subject 被允许（请用 indykite-authzen-search-action / -search-resource / -search-subject），也不用于编写决策背后的策略（请用 indykite-authzen-kbac-policies）。若要通过 MCP/JSON-RPC 获得同一决策，请见 indykite-mcp-server（`authzen_evaluate`）。

I

indykite-authzen-evaluations

indykite / skills

通过 IndyKite AuthZEN REST API（`POST /access/v1/evaluations`）一次调用执行多项 KBAC 授权决策，顶层 subject/action/resource/context 作为默认值，可被每条记录覆盖；按顺序为每条记录返回一个 `decision`。适用于一次检查一组已知且固定的检查项——一个 subject 对应多个 resource、一个 action 跨多个 subject，或任意三元组组合——例如“这些服务中哪些可以 grace provision？”“这些用户中，哪些可以部署 gpu-node-7？”。单次检查请使用 indykite-authzen-evaluation；要枚举所有允许的 action/resource/subject（开放式，而非固定列表）请使用 indykite-authzen-search-action / -search-resource / -search-subject；要编写策略请使用 indykite-authzen-kbac-policies。

I

indykite-authzen-search-action

indykite / skills

通过 IndyKite AuthZEN REST API（`POST /access/v1/search/action`）列出某个 subject 被允许对某个 resource 执行的操作——针对一个固定的 (subject, resource) 组合返回被授予的 action 名称。用于枚举允许的操作——"what can linus do with gpu-node-7?"、"which actions does this user have on this item?"（例如只渲染允许的 UI 控件）。不用于特定 action 的是/否判断（"can linus DEPLOY gpu-node-7?" -> indykite-authzen-evaluation）；若要枚举其他维度，请用 indykite-authzen-search-resource（哪些 resources）或 indykite-authzen-search-subject（哪些 subjects）；若要编写策略，请用 indykite-authzen-kbac-policies。

I

indykite-authzen-search-resource

indykite / skills

通过 IndyKite AuthZEN REST API（`POST /access/v1/search/resource`）列出某个 subject 被允许对之执行给定 action 的 resource——给定一个 subject 和一个 action，返回某类型中匹配的 resource 实例。用于枚举允许的 resource——"which servers can linus provision?"、"list the documents this user can read"（按访问权限过滤的列表）。返回 `{type,id}` 引用，而不是是/否决策，也不是 resource 数据本身（图数据请用 indykite-ciq-read）。若要对单个 resource 做是/否判断，请用 indykite-authzen-evaluation；若要枚举其他维度，请用 indykite-authzen-search-action（哪些 actions）或 indykite-authzen-search-subject（哪些 subjects）；若要编写策略，请用 indykite-authzen-kbac-policies。

I

indykite-authzen-search-subject

indykite / skills

通过 IndyKite AuthZEN REST API（`POST /access/v1/search/subject`）列出被允许对某个 resource 执行给定 action 的 subject——给定一个 resource 和一个 action，返回某类型中匹配的 subject 实例。用于枚举谁有访问权限——"who can provision gpu-node-7?"、"list the people allowed to approve this document"（审计/审核视图）。不用于特定 subject 的是/否判断（"can grace provision gpu-node-7?" -> indykite-authzen-evaluation）；若要枚举其他维度，请用 indykite-authzen-search-action（哪些 actions）或 indykite-authzen-search-resource（哪些 resources）；若要编写策略，请用 indykite-authzen-kbac-policies。

I

investigating-azure-incidents

trilwu / secskills

调查 Microsoft Azure（资源和订阅控制平面）中的安全事件：根据 Azure Activity Log 和资源／数据平面诊断日志还原攻击者活动，以发出调用的身份（用户、服务主体或托管身份）为调查起点，通过角色分配追踪权限提升，排查托管身份令牌滥用和 VM run-command 代码执行，并在关联 Entra 登录日志的同时检测存储或 Key Vault 数据窃取。适用于响应疑似 Azure 资源遭入侵、异常 Azure Activity Log 条目、Microsoft Defender for Cloud 警报、托管身份或服务主体滥用、加密货币挖矿 VM 或存储帐户数据外传事件。

I

investigating-gcp-incidents

trilwu / secskills

调查 Google Cloud 中的安全事件：先确认现有审计日志记录情况，再判断是否确实存在日志空缺；根据 Cloud Audit Logs 还原活动；分诊服务账户和 OAuth 滥用；跟进 Security Command Center 发现；并确定 IAM 和资源变更范围。在响应疑似 GCP 失陷、调查泄露的服务账户密钥、处理 Security Command Center 或 Event Threat Detection 告警，或还原某个主体在 GCP 组织中的操作时使用。

I

investigating-m365-entra

trilwu / secskills

调查 Microsoft 365 和 Entra ID (Azure AD) 中的安全事件：搜索 Unified Audit Log，关联登录和审计事件，追踪恶意 OAuth 授权，分析邮箱规则篡改，并遏制遭入侵的身份。当响应 BEC 事件、调查 Entra ID 入侵、分析可疑 OAuth 应用权限、追踪邮件转发滥用，或审查 Azure AD 登录异常时使用。

J

jsr-reverse

715494637 / reverse-skill

当 Web JS 逆向任务的阶段选择不明确、源码链与 shell 阻塞混杂、运行时分叉、仅剩验证工作，或出现 412、cookie hops、sign、token、JSVMP、worker、wasm、hasDebug、basearr 等 RS/瑞数线索时使用。

J

judge-ctf

wgpsec / aboutsecurity

CTF flag 评判检查清单。当需要判断 CTF 挑战是否完成（flag 是否已获取）、分析攻击失败原因、或为下一步攻击提供精确指导时使用。覆盖 flag 搜索验证、漏洞发现评估、漏洞利用评估、flag 位置推断、常见题型模式匹配（SQLi/LFI/RCE/IDOR/SSRF/反序列化）

M

macos-admin

alphaonedev / openclaw-graph

系统偏好设置、用户、磁盘工具、SIP、Gatekeeper、FileVault、控制台日志

M

masumi-agent-messenger

masumi-network / masumi-agent-messenger

为 AI Agent 提供加密收件箱和 Agent 间消息传递命令行工具。当 Agent 需要稳定的收件箱地址、持久的加密会话、签名的共享频道、异步多 Agent 交接、人工审批、设备密钥恢复或 JSON 自动化时使用。

M

mcp-security

wgpsec / aboutsecurity

MCP (Model Context Protocol) 协议安全测试方法论。当目标环境使用 MCP Server 集成外部工具、 需要评估 MCP 工具描述安全性、或测试 Agent 通过 MCP 调用工具时的安全边界时触发。 覆盖: 工具描述投毒、地毯式骗局(动态篡改)、指令覆盖(Shadow Tool)、隐藏指令(ANSI/Unicode)、 跨 Server 攻击、Token 窃取、Schema 操纵、上下文溢出。

M

mishandling-exceptional-conditions

scholarly360 / owasp-top10-web-skills

检测、分析并修复 Python Web 应用（FastAPI 和 Flask）中的 OWASP A10:2025——异常情况处理不当。每当用户询问错误处理安全、异常管理、fail-open 漏洞、堆栈跟踪暴露、未捕获异常、事务回滚安全或异常路径中的资源泄漏时，请使用本技能。也在任何 OWASP A10 审计、涉及 try/except 块的安全代码审查、全局异常处理器或可能泄漏敏感信息的 HTTP 错误响应时触发。如果用户在 Python 语境中提到 CWE-209、CWE-248、CWE-636、CWE-703、CWE-754 或 CWE-476，请立即使用本技能。