chain-analysis
把多个漏洞候选关联成可利用的攻击链并生成场景。
▸ 推荐理由便于从独立报警中判断实际可利用的攻击路径并排序处置。
▸ 风险提示处理敏感漏洞数据，注意不要泄露测试目标详情。
全部收录
相关性达标的全量 Skills（含未精选长尾）· 共 2249 个
sast
整合73种扫描器与AI自测，生成统一的源码漏洞报告。
▸ 推荐理由适合需要全面自动化安全审计的团队，覆盖多类漏洞与测试方式。
▸ 风险提示可能下载并执行外部扫描器或需高权限，建议在隔离环境运行。
dependency-audit
审计项目依赖以发现已知漏洞、恶意包与供应链风险。
▸ 推荐理由在引入依赖或 PR 前降低供应链攻击面。
database-security
防止 SQL 注入、ORM 误用与凭据泄露并推行最小权限策略。
▸ 推荐理由改善数据库访问安全与迁移流程质量。
crypto-misuse
阻止使用弱密码学、可预测 RNG、短密钥与非恒时比较等错误用法。
▸ 推荐理由能显著降低密码学误用导致的安全风险。
cors-security
提供严格的 CORS 配置策略与中间件/网关实现建议。
▸ 推荐理由防止跨域滥用，适用于 API 与边缘服务。
container-security
为 Dockerfile、OCI 镜像与 Kubernetes 配置提供加固规则与审查准则。
▸ 推荐理由减少镜像与部署的常见误配置和漏洞风险。
compliance-awareness
将生成的代码与 OWASP/CWE/SANS Top 25 对照并打标签以便审计追溯。
▸ 推荐理由适合受监管环境的代码生成与审计追溯。
cicd-security
加固 CI/CD 流水线以防供应链攻击、密钥外泄与作业滥用。
▸ 推荐理由适用于审查或生成工作流文件，能阻止常见流水线风险。
auth-security
身份认证与授权安全规则：JWT/OAuth/会话/密码与多因素等最佳实践。
▸ 推荐理由为登录、令牌与会话场景提供可复用的安全约束，降低常见失误。
api-security
对 HTTP/GraphQL/gRPC 等 API 应用 OWASP Top10 的安全校验与最佳实践。
▸ 推荐理由覆盖常见 API 风险，适合在代码生成或审查阶段快速校验。
websocket-security
为 WebSocket 提供握手校验、授权、消息限流与加密连接等安全策略。
▸ 推荐理由适合实时通信场景，能减少会话滥用与跨站攻击风险。
template-injection
防止服务器端模板注入（SSTI），通过绑定变量与静态模板源避免执行风险。
▸ 推荐理由在生成视图与模板代码时可显著降低远程代码执行隐患。
supply-chain-security
检测拼写相似、依赖混淆与恶意包的供应链安全规则与检查。
▸ 推荐理由可嵌入代码生成或 CI 的实用防护，显著降低依赖风险。
ssrf-prevention
基于允许列表与解析验证的 SSRF 防御规则，阻止内网与元数据泄露。
▸ 推荐理由适合在生成或审查远程请求代码时加入自动化防护。
serverless-security
为无服务器函数（Lambda/Cloud Functions/Azure）提供安全加固与最佳实践。
▸ 推荐理由面向代码生成与审查的可执行规则集，便于自动化安全落地。
secure-code-review
在代码生成与审查中应用 OWASP/CWE 模式以防止常见漏洞。
▸ 推荐理由把成熟漏洞模型嵌入审查流程，提高生成代码的安全性与一致性。
secret-detection
检测代码中的硬编码密钥、令牌与凭证并给出拦截策略。
▸ 推荐理由高价值工程工具，能自动化减少泄密与凭证外泄风险。
▸ 风险提示需访问私有代码库，可能接触敏感凭据；注意访问权限控制。
ml-security
涵盖模型加载、数据/模型投毒、PII 与模型血缘的安全建议。
▸ 推荐理由强调安全模型格式与溯源检查，适合 ML 工程与审计场景。
iam-best-practices
最小权限设计、密钥轮换、MFA 与跨账号访问的 IAM 最佳实践集合。
▸ 推荐理由覆盖多云与 Kubernetes 场景，适合安全与运维团队采用。
▸ 风险提示部分操作需高权限，误配置可能造成权限丢失或服务中断。
iac-security
对 Terraform/CloudFormation/Pulumi 的状态、提供者、漂移与秘密管理提出加固规则。
▸ 推荐理由帮助降低供应链与配置漂移风险，适合云基础设施管控。
▸ 风险提示配置或脚本执行不慎可能泄露密钥或破坏资源，实施需谨慎权限控制。
graphql-security
保护 GraphQL API：限制查询深度/复杂度、禁用生产 introspection 与字段级授权。
▸ 推荐理由针对 GraphQL 典型滥用场景，给出成本与深度防护策略。
frontend-security
提供前端防护建议：XSS、CSP、CORS、SRI 与 iframe/Trusted Types 等策略。
▸ 推荐理由可直接用于前端审计与加固，包含可落地的最小基线策略。
file-upload-security
对用户上传文件做魔数校验、名称清洗、大小限制与隔离存储等防护。
▸ 推荐理由覆盖常见绕过手法与防护链，适合后端上传接口加固。
error-handling-security
服务端记录完整错误日志，外部返回通用且脱敏的错误信息。
▸ 推荐理由避免泄露堆栈/路径等敏感信息，提升安全与可观测性。
electron-security
针对 Electron 应用的一套渲染器隔离与 IPC/导航安全规则。
▸ 推荐理由把渲染器视为不可信的统一原则，提供实用落地配置建议。
dynamic-verification
在真实目标上用确定性探针确认或排除漏洞候选项。
▸ 推荐理由将静态/LLM 命中转为可操作结论，适合红队与自动化流水线。
▸ 风险提示主动探测可能触及未授权扫描或攻击风险，实施前需法律与授权确认。
deserialization-security
阻止不安全反序列化，推荐模式化与类型白名单替代。
▸ 推荐理由针对常见 RCE 向量，适合代码生成与审计策略
dependency-audit
对项目依赖进行漏洞与恶意包审计，管理锁定版本与供应链风险。
▸ 推荐理由适合自动化依赖检查与引入前审查流程
database-security
防止 SQL 注入、ORM 误用与凭证泄露并强化最小权限。
▸ 推荐理由覆盖查询、迁移与权限的实务规则，利于审计
crypto-misuse
阻止弱加密用法、可预测 RNG 与不安全比较等加密滥用。
▸ 推荐理由直接针对高危加密错误，适合代码审查与生成器校验
cors-security
提供严格的 CORS 配置建议，避免通配符与凭据泄露。
▸ 推荐理由简单清晰，适合前后端安全联调与自动检查
container-security
为 Docker/OCI/K8s/Helm 提供镜像与清单硬化规则。
▸ 推荐理由覆盖镜像构建到部署的实用硬化清单，易落地
compliance-awareness
对生成代码进行 OWASP/CWE/SANS 控件映射与可追溯标注。
▸ 推荐理由便于合规审计与自动化追踪敏感代码处理点
cicd-security
加强 GitHub Actions/GitLab CI 等流水线的安全，防止供应链与密钥泄露。
▸ 推荐理由适合自动化检测与修复流水线安全配置的场景
auth-security
关于 JWT、OAuth2/OIDC、会话管理与 MFA 的认证授权安全规则。
▸ 推荐理由适合实现或审计认证机制时快速对照安全要求。
api-security
提供基于 OWASP 的 API 安全规则与鉴权、输入校验建议。
▸ 推荐理由便于审查与生成符合最佳实践的安全 API 设计。
better-coding-workflow
为 AI 编码工作提供一套持续的工程化编码流程与习惯准则。
▸ 推荐理由把模型写码行为规范化，适合团队级别的实现与维护场景。
better-coding-verify
在声称完成前，用实际运行的证据验证变更是否真的生效。
▸ 推荐理由强制用证据判断完成状态，降低回滚风险。
better-coding-start
启动并加载整个 better-coding 工作流到会话与项目中以保持一致性。
▸ 推荐理由保持会话一致性，适合长期协作。