一键在 Manus 中运行任何 Skill

security-audit

星标1

分支1

更新时间2026年5月20日 09:22

安全审计工作流：AI驱动的代码安全审查，集成CodeQL/Semgrep静态分析，识别OWASP Top 10漏洞。当用户说'安全审计'、'代码安全检查'、'漏洞扫描'、'security review'、'代码安全'、'渗透测试'、'安全漏洞'、'OWASP'时触发。核心特点：静态分析集成、漏洞模式识别、修复建议自动生成、合规性检查。

安装

用 Codex 或 Claude 帮你安装复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。

在 Manus 中运行

来源

gaoqiongxie

gaoqiongxie/skills-ai

打开 GitHub 仓库查看创作者相关仓库

下载

在 Manus 中运行

🔒 Security Audit — 安全审计工作流

AI 驱动的代码安全审查，在开发阶段就消灭漏洞。

🎯 核心能力

能力	说明
静态分析	集成 CodeQL / Semgrep / Bandit 等工具
漏洞识别	识别 OWASP Top 10 及其他常见漏洞模式
依赖审计	检查第三方库已知 CVE 漏洞
密钥扫描	检测代码中硬编码的密钥、Token、密码
修复建议	自动生成安全修复代码
合规检查	检查是否符合安全编码规范

🔍 审计检查清单

OWASP Top 10 覆盖

排名	漏洞类型	检测能力	示例
A01	注入攻击 (Injection)	✅ SQL/XSS/命令注入	`SELECT * FROM users WHERE id = '$id'`
A02	失效认证 (Broken Auth)	✅ 弱密码/JWT 配置/会话管理	JWT 无过期时间
A03	敏感数据暴露	✅ 明文存储/传输/日志	密码明文打印日志
A04	XML 外部实体 (XXE)	✅ XML 解析器配置	`DocumentBuilder` 未禁用 DTD
A05	失效访问控制	✅ 越权访问/IDOR	缺少权限校验
A06	安全配置错误	✅ 默认配置/调试信息泄露	生产环境开启 debug
A07	跨站脚本 (XSS)	✅ 反射型/存储型/DOM型	未转义用户输入
A08	不安全的反序列化	✅ 反序列化漏洞	Java `ObjectInputStream`
A09	使用含漏洞组件	✅ 依赖 CVE 扫描	Log4j 漏洞
A10	不足的日志监控	✅ 缺少审计日志	关键操作无记录

扩展检查

检查项	说明
硬编码密钥	API Key、Secret、密码
不安全的随机数	使用 `Math.random()` 生成 Token
不安全的文件上传	缺少类型/大小校验
CORS 配置不当	`Access-Control-Allow-Origin: *`
不安全的加密	MD5/SHA1、ECB 模式、弱密钥
路径遍历	`../` 未过滤
SSRF	服务端请求伪造

🛠️ 集成工具链

代码提交 → 安全审计触发
    ├── CodeQL 分析（语义分析）
    ├── Semgrep 扫描（模式匹配）
    ├── Bandit 检查（Python专用）
    ├── Dependency-Check（依赖漏洞）
    └── Gitleaks（密钥扫描）
        ↓
    生成安全报告 + 修复建议

📋 审计输出格式

## 安全审计报告

### 概览
- 扫描文件：127
- 发现问题：5（高危 2 / 中危 2 / 低危 1）
- 扫描时间：2026-05-09 10:30

### 高危问题

#### [HIGH] SQL 注入 (A01)
- **位置**: `src/user/dao.py:45`
- **代码**: `cursor.execute(f"SELECT * FROM users WHERE name = '{name}'")`
- **风险**: 攻击者可执行任意 SQL 命令
- **修复**:
  ```python
  cursor.execute("SELECT * FROM users WHERE name = %s", (name,))

[HIGH] 硬编码 JWT 密钥 (A03)

位置: src/config.py:12
代码: JWT_SECRET = "my-secret-key-123"
风险: 密钥泄露导致身份伪造
修复: 从环境变量读取

中危问题

...

修复优先级

立即修复：高危问题
本周修复：中危问题
下次迭代：低危问题


---

## 🚀 使用方式

### 方式一：全量审计

对当前项目执行安全审计


扫描整个代码库，生成完整安全报告。

### 方式二：增量审计

审计本次变更的安全问题 git diff 与 main 分支对比


只检查新增/修改的代码，适合 CI/CD 集成。

### 方式三：特定文件审计

安全审计 src/auth/login.py 重点关注：认证逻辑、会话管理


### 方式四：修复模式

审计并修复安全问题自动生成修复代码


---

## 🔧 CI/CD 集成

```yaml
# .github/workflows/security-audit.yml
name: Security Audit
on: [pull_request]
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: CodeQL Analysis
        uses: github/codeql-action/init@v3
      - name: Semgrep Scan
        uses: returntocorp/semgrep-action@v1
      - name: Secret Scan
        uses: trufflesecurity/trufflehog@main

🆚 与其他 Skill 的关系

最佳实践链：

编码阶段 → multi-agent-orchestration（Security Agent 审计）
    → security-audit（深度漏洞扫描）
    → confidence-check（评估修复方案可信度）
    → test-driven-development（安全测试用例）
    → git-commit（规范提交安全修复）
    → hermes-experience（沉淀安全经验）

💡 最佳实践

DO

✅ 每次 PR 前执行安全审计
✅ 高危问题阻塞合并
✅ 定期扫描依赖库 CVE
✅ 密钥使用专门管理工具（Vault/AWS Secrets）
✅ 安全测试纳入自动化测试

DON'T

❌ 忽视低危问题（累积成高危）
❌ 在生产环境调试信息
❌ 自己实现加密算法
❌ 信任用户输入（永远校验）

"安全不是一次性的检查，而是持续的过程。每个 commit 都应该是安全的。"

同仓库更多 Skills

同仓库

enterprise-iteration-agent

gaoqiongxie/skills-ai

企业级全栈迭代工作流Agent：当用户说'开始开发这个需求'、'处理本次迭代'、'全栈开发闭环'、'跑一个迭代'、'enterprise iteration'、'迭代开发'、'需求交付'、'开发闭环'时触发。自动按需求→设计→开发→测试→Review→部署→记忆7阶段推进，维护迭代状态机，路径感知（自动读取需求目录与代码目录），协调多个子Skill协作完成企业级CRM全栈需求交付。支持状态回退、并行分支、上下文继承。

2026-06-041

enterprise-crm-fullstack

gaoqiongxie/skills-ai

企业级CRM全栈开发规范：基于Vue 2 + Element UI + Java Spring Boot的标准化开发指南。覆盖前端配置式列表页、详情页、国际化、权限控制，后端分层架构、接口规范、数据库设计。当用户说'CRM开发'、'Vue 2列表页'、'Element UI表单'、'Java后端接口'、'全栈开发规范'、'中后台系统开发'、'工单系统开发'、'客户管理系统开发'时触发。核心特点：前后端标准化、配置式开发、企业级权限、国际化支持。

2026-06-041

cybersecurity-skills

gaoqiongxie/skills-ai

网络安全分析师技能库：754个结构化安全技能，让AI具备Senior Analyst级别的全栈安全分析能力。覆盖威胁狩猎、数字取证、事件响应、渗透测试、代码安全审计、威胁情报、恶意软件分析等26个安全领域。映射MITRE ATT&CK v19.1、NIST CSF 2.0、MITRE ATLAS v5.4、MITRE D3FEND v1.3、NIST AI RMF 1.0五大框架。当用户说'安全分析'、'威胁狩猎'、'威胁情报'、'渗透测试'、'事件响应'、'MITRE'、'代码审计'、'数字取证'、'恶意软件分析'、'红队'、'蓝队'、'SOC'、'漏洞分析'、'安全运营'、'网络攻防'、'入侵检测'时触发。渐进式加载设计，500-2000 tokens完整加载，避免上下文溢出。

2026-06-041

taste-skill

gaoqiongxie/skills-ai

反平庸 UI 设计 Skill：让 AI 生成的前端界面摆脱样板化、去AI味，提升布局、排版、动效和间距品质。当用户说'反平庸设计'、'去AI味UI'、'提升界面品质'、'设计系统'、'UI太模板化'、'界面不够精致'、'去掉AI生成的UI感'、'让页面更有设计感'时触发。核心特点：框架无关的设计规则、三档参数调节（DESIGN_VARIANCE/MOTION_INTENSITY/VISUAL_DENSITY）、anti-slop 反重复机制、8大设计方向体系。

2026-06-041

algorithmic-art

gaoqiongxie/skills-ai

算法艺术生成器：用p5.js/Canvas代码生成程序化艺术作品，包括粒子系统、几何图形、种子随机、噪声纹理、动态壁纸。当用户说'生成艺术'、'算法壁纸'、'p5.js艺术'、'代码画画'、'生成海报'、'粒子效果'、'噪声纹理'、'程序化艺术'时触发。核心特点：种子可控复现、参数化设计、数学美学、代码即画布。

2026-05-291

cloudflare-worker

gaoqiongxie/skills-ai

Cloudflare Worker边缘函数构建指南：用Wrangler CLI开发、调试、部署Serverless函数，实现轻量API/边缘缓存/中间层/反向代理。当用户说'写个Worker'、'边缘函数'、'Cloudflare部署'、'Serverless API'、'轻量后端'、'边缘计算'、'CF Worker'时触发。核心特点：Wrangler工作流、边缘环境特性、KV/DO/R2存储、TypeScript最佳实践、本地调试到部署全链路。

2026-05-291

name	security-audit
description	安全审计工作流：AI驱动的代码安全审查，集成CodeQL/Semgrep静态分析，识别OWASP Top 10漏洞。当用户说'安全审计'、'代码安全检查'、'漏洞扫描'、'security review'、'代码安全'、'渗透测试'、'安全漏洞'、'OWASP'时触发。核心特点：静态分析集成、漏洞模式识别、修复建议自动生成、合规性检查。

来源: trailofbits/skills + OWASP + 安全社区实践

发布时间: 2026-05

理念: "安全不是可选项，是每个 commit 的必选项。"

🔒 Security Audit — 安全审计工作流

AI 驱动的代码安全审查，在开发阶段就消灭漏洞。

🎯 核心能力

能力	说明
静态分析	集成 CodeQL / Semgrep / Bandit 等工具
漏洞识别	识别 OWASP Top 10 及其他常见漏洞模式
依赖审计	检查第三方库已知 CVE 漏洞
密钥扫描	检测代码中硬编码的密钥、Token、密码
修复建议	自动生成安全修复代码
合规检查	检查是否符合安全编码规范

🔍 审计检查清单

OWASP Top 10 覆盖

排名	漏洞类型	检测能力	示例
A01	注入攻击 (Injection)	✅ SQL/XSS/命令注入	`SELECT * FROM users WHERE id = '$id'`
A02	失效认证 (Broken Auth)	✅ 弱密码/JWT 配置/会话管理	JWT 无过期时间
A03	敏感数据暴露	✅ 明文存储/传输/日志	密码明文打印日志
A04	XML 外部实体 (XXE)	✅ XML 解析器配置	`DocumentBuilder` 未禁用 DTD
A05	失效访问控制	✅ 越权访问/IDOR	缺少权限校验
A06	安全配置错误	✅ 默认配置/调试信息泄露	生产环境开启 debug
A07	跨站脚本 (XSS)	✅ 反射型/存储型/DOM型	未转义用户输入
A08	不安全的反序列化	✅ 反序列化漏洞	Java `ObjectInputStream`
A09	使用含漏洞组件	✅ 依赖 CVE 扫描	Log4j 漏洞
A10	不足的日志监控	✅ 缺少审计日志	关键操作无记录

扩展检查

检查项	说明
硬编码密钥	API Key、Secret、密码
不安全的随机数	使用 `Math.random()` 生成 Token
不安全的文件上传	缺少类型/大小校验
CORS 配置不当	`Access-Control-Allow-Origin: *`
不安全的加密	MD5/SHA1、ECB 模式、弱密钥
路径遍历	`../` 未过滤
SSRF	服务端请求伪造

🛠️ 集成工具链

代码提交 → 安全审计触发
    ├── CodeQL 分析（语义分析）
    ├── Semgrep 扫描（模式匹配）
    ├── Bandit 检查（Python专用）
    ├── Dependency-Check（依赖漏洞）
    └── Gitleaks（密钥扫描）
        ↓
    生成安全报告 + 修复建议

📋 审计输出格式

## 安全审计报告

### 概览
- 扫描文件：127
- 发现问题：5（高危 2 / 中危 2 / 低危 1）
- 扫描时间：2026-05-09 10:30

### 高危问题

#### [HIGH] SQL 注入 (A01)
- **位置**: `src/user/dao.py:45`
- **代码**: `cursor.execute(f"SELECT * FROM users WHERE name = '{name}'")`
- **风险**: 攻击者可执行任意 SQL 命令
- **修复**:
  ```python
  cursor.execute("SELECT * FROM users WHERE name = %s", (name,))

[HIGH] 硬编码 JWT 密钥 (A03)

位置: src/config.py:12
代码: JWT_SECRET = "my-secret-key-123"
风险: 密钥泄露导致身份伪造
修复: 从环境变量读取

中危问题

...

修复优先级

立即修复：高危问题
本周修复：中危问题
下次迭代：低危问题


---

## 🚀 使用方式

### 方式一：全量审计

对当前项目执行安全审计


扫描整个代码库，生成完整安全报告。

### 方式二：增量审计

审计本次变更的安全问题 git diff 与 main 分支对比


只检查新增/修改的代码，适合 CI/CD 集成。

### 方式三：特定文件审计

安全审计 src/auth/login.py 重点关注：认证逻辑、会话管理


### 方式四：修复模式

审计并修复安全问题自动生成修复代码


---

## 🔧 CI/CD 集成

```yaml
# .github/workflows/security-audit.yml
name: Security Audit
on: [pull_request]
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: CodeQL Analysis
        uses: github/codeql-action/init@v3
      - name: Semgrep Scan
        uses: returntocorp/semgrep-action@v1
      - name: Secret Scan
        uses: trufflesecurity/trufflehog@main

🆚 与其他 Skill 的关系

最佳实践链：

编码阶段 → multi-agent-orchestration（Security Agent 审计）
    → security-audit（深度漏洞扫描）
    → confidence-check（评估修复方案可信度）
    → test-driven-development（安全测试用例）
    → git-commit（规范提交安全修复）
    → hermes-experience（沉淀安全经验）

💡 最佳实践

DO

✅ 每次 PR 前执行安全审计
✅ 高危问题阻塞合并
✅ 定期扫描依赖库 CVE
✅ 密钥使用专门管理工具（Vault/AWS Secrets）
✅ 安全测试纳入自动化测试

DON'T

❌ 忽视低危问题（累积成高危）
❌ 在生产环境调试信息
❌ 自己实现加密算法
❌ 信任用户输入（永远校验）

"安全不是一次性的检查，而是持续的过程。每个 commit 都应该是安全的。"