القائمة
使用 AgentShield 扫描你的 Claude Code 配置（.claude/ 目录），检查安全漏洞、配置错误和注入风险。检查 CLAUDE.md、settings.json、MCP 服务器、hooks 和代理定义。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/gugug168/claudecode-tutorial --skill security-scanيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | security-scan |
| description | 使用 AgentShield 扫描你的 Claude Code 配置（.claude/ 目录），检查安全漏洞、配置错误和注入风险。检查 CLAUDE.md、settings.json、MCP 服务器、hooks 和代理定义。 |
使用 AgentShield 审计你的 Claude Code 配置安全问题。
.claude/settings.json、CLAUDE.md 或 MCP 配置后| 文件 | 检查内容 |
|---|---|
CLAUDE.md | 硬编码的密钥、自动运行指令、提示注入模式 |
settings.json | 过于宽松的允许列表、缺少拒绝列表、危险的绕过标志 |
mcp.json | 危险的 MCP 服务器、硬编码的环境密钥、npx 供应链风险 |
hooks/ | 通过插值的命令注入、数据泄露、静默错误抑制 |
agents/*.md | 不受限制的工具访问、提示注入面、缺少模型规格 |
必须安装 AgentShield。检查并安装（如果需要）：
# 检查是否已安装
npx ecc-agentshield --version
# 全局安装（推荐）
npm install -g ecc-agentshield
# 或直接通过 npx 运行（无需安装）
npx ecc-agentshield scan .
什么是 npx？ 它是 npm 的包运行器，可以直接运行包而无需安装。
针对当前项目的 .claude/ 目录运行：
# 扫描当前项目
npx ecc-agentshield scan
# 扫描特定路径
npx ecc-agentshield scan --path /path/to/.claude
# 使用最小严重性过滤器扫描
npx ecc-agentshield scan --min-severity medium
什么是严重性级别？ 它表示问题的危险程度——critical（严重）> high（高）> medium（中）> low（低）。
# 终端输出（默认）——带评分的彩色报告
npx ecc-agentshield scan
# JSON ——用于 CI/CD 集成
npx ecc-agentshield scan --format json
# Markdown ——用于文档
npx ecc-agentshield scan --format markdown
# HTML ——自包含的深色主题报告
npx ecc-agentshield scan --format html > security-report.html
为什么有多种格式？ 不同场景需要不同格式——终端适合人看，JSON 适合机器处理。
自动应用安全修复（只修复标记为可自动修复的）：
npx ecc-agentshield scan --fix
这将：
注意： --fix 只修复安全的问题，不会破坏你的配置。
运行对抗性三代理管道进行更深入的分析：
# 需要 ANTHROPIC_API_KEY
export ANTHROPIC_API_KEY=your-key
npx ecc-agentshield scan --opus --stream
这运行：
什么是对抗性分析？ 三个 AI 模拟攻击者和防御者，找出更多潜在问题。
从头搭建新的安全 .claude/ 配置：
npx ecc-agentshield init
创建：
settings.json ——带范围权限和拒绝列表CLAUDE.md ——带安全最佳实践mcp.json ——占位符为什么使用 init？ 它给你一个安全的起点，避免常见错误。
添加到你的 CI 管道：
- uses: affaan-m/agentshield@v1
with:
path: '.'
min-severity: 'medium'
fail-on-findings: true
什么是 CI 管道？ 持续集成——每次提交代码时自动运行的测试。
| 等级 | 分数 | 含义 |
|---|---|---|
| A | 90-100 | 安全配置 |
| B | 75-89 | 小问题 |
| C | 60-74 | 需要关注 |
| D | 40-59 | 重大风险 |
| F | 0-39 | 严重漏洞 |
评分系统： 像学校成绩一样，A 是最好，F 是不及格。
Bash(*)（不受限制的 shell 访问）${file} 插值在 hooks 中的命令注入为什么关键？ 这些问题让攻击者完全控制你的系统。
为什么高危？ 这些问题可能导致数据泄露或系统损坏。
2>/dev/null、|| true）npx -y 自动安装为什么中等？ 这些是最佳实践问题，不会立即造成危险。
为什么信息级？ 这些是提醒，帮助你改进配置。
记住：安全扫描应该定期运行，就像定期体检一样。