针对Clawdbot部署的全面安全审计，扫描暴露凭证、开放端口、弱配置及漏洞，支持自动修复。
安全审计 Skill : 何时使用
功能概述
安全审计 Skill : 何时使用是一项面向实际任务的技能，主要用于启动安全审计, 以识别部署前或部署时在 Clawdbot 设置中存在的弱点；使用自动固定来自动纠正常见问题。
核心要点
- 它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。
- 使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。
- 该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。
使用与执行
从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；
结果检查与注意事项
若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。
安全审计技能
适用场景
在部署前或按计划执行安全审计，以识别 Clawdbot 配置中的潜在漏洞。可使用自动修复功能（auto-fix）自动修正常见问题。
配置要求
无需外部依赖。在系统支持时优先调用原生系统工具。
操作方法
快速审计（常见问题）
node skills/security-audit/scripts/audit.cjs
完整审计（全面扫描）
node skills/security-audit/scripts/audit.cjs --full
自动修复常见问题
node skills/security-audit/scripts/audit.cjs --fix
针对特定领域执行审计
node skills/security-audit/scripts/audit.cjs --credentials # 检查是否存在泄露的 API 密钥 node skills/security-audit/scripts/audit.cjs --ports # 扫描开放端口 node skills/security-audit/scripts/audit.cjs --configs # 验证配置文件 node skills/security-audit/scripts/audit.cjs --permissions # 检查文件权限 node skills/security-audit/scripts/audit.cjs --docker # Docker 安全检查
生成报告
node skills/security-audit/scripts/audit.cjs --full --json > audit-report.json
输出结果
审计将生成一份包含以下等级标识的报告：
| 等级 | 说明 |
|---|---|
| 🔴 CRITICAL | 需立即处理（例如：凭据泄露） |
| 🟠 HIGH | 存在显著风险，建议尽快修复 |
| 🟡 MEDIUM | 中等程度关注项 |
| 🟢 INFO | 仅作信息参考，无需操作 |
执行的检查项
凭据（Credentials）
- 环境变量文件（如 .env）中是否包含 API 密钥
- 命令历史中是否残留访问令牌
- 代码中是否硬编码敏感密钥
- 是否存在弱密码模式
端口（Ports）
- 是否存在非预期的开放端口
- 是否有服务直接暴露于公网
- 是否缺失防火墙规则
配置（Configs）
- 是否未启用速率限制（rate limiting）
- 是否禁用了身份认证（authentication）
- 是否仍在使用默认凭据
- CORS 策略是否过于宽松
文件（Files）
- 是否存在全局可读（world-readable）的文件
- 是否存在任意用户均可执行的文件
- 敏感文件是否误置于公开目录中
Docker
- 是否存在特权容器（privileged containers）
- 容器是否缺少资源限制（resource limits）
- 容器内是否以 root 用户运行
自动修复（Auto-Fix）
启用 --fix 参数后，脚本将自动执行以下操作：
- 设置严格的文件权限（例如将 .env 文件权限设为 600）
- 加固敏感配置文件的安全性
- 若缺失则自动生成 .gitignore 文件
- 启用基础安全响应头（security headers）
相关技能
security-monitor— 实时监控（需单独安装）
热门AI工具
相关专题
本专题聚焦Go-Zero的API开发，拆解.api描述文件的语法结构、路由与分组定义、参数绑定与校验规则，说明统一响应体、JWT鉴权、跨域与接口文档生成的落地方式，并给出网关聚合与接口测试的实践建议。
0
2026.11.12
本专题围绕Go-Zero的安装与工具链配置展开，讲清Go版本要求、goctl安装方式、代理镜像、protoc依赖与环境变量设置，说明多版本共存、升级回退与CI流水线安装的做法，并整理安装阶段的常见报错与验证步骤。
0
2026.11.12
本专题整理Go-Zero的入门知识，从框架定位、环境准备到跑通第一个API服务，讲清目录分层、配置加载、日志与中间件的基本用法，并对比Gin、Kratos的差异，帮助Go开发者建立整体认知，判断它是否适合当前项目。
0
2026.11.12
本专题从实际API接口调试场景出发，讲解Postman身份认证的完整配置流程，包括常见认证协议介绍、授权参数设置、访问令牌填写、OAuth 2.0授权及认证失败排查，帮助用户正确完成接口授权与访问验证。
0
2026.11.06
围绕Postman HTTP请求头配置展开，讲解Headers选项的具体使用方式，包括Key和Value参数填写、请求头信息添加、常见Header字段设置及请求头修改方法，帮助用户解决接口调试过程中遇到的请求头配置问题。
0
2026.11.06
详细介绍Postman接口请求的创建与发送方法，涵盖GET和POST请求、URL配置、请求参数、Headers请求头、Body请求体设置以及响应结果查看，帮助用户掌握Postman接口请求的完整操作流程。
0
2026.11.06
DBeaver数据导入专题，整理Excel、CSV、SQL、TXT等常见文件的数据导入方法，涵盖目标数据库选择、数据表创建、字段映射、数据类型设置及导入参数配置等操作，帮助用户将本地文件中的数据写入数据库，并了解批量导入、重复数据处理和导入失败等常见问题的解决方法。
0
2026.11.05
DBeaver安全防护专题，围绕数据库连接安全、账号密码保护和访问权限管理展开，整理SSL/TLS加密连接、SSH隧道、数据库凭据保存及证书验证等配置方法，同时介绍敏感信息保护、远程连接风险和高权限账号使用等注意事项，帮助用户提高数据库日常管理的安全性。
0
2026.11.05
本专题聚焦DBeaver数据库连接配置与管理，覆盖从新建连接、选择数据库类型到填写连接参数和验证连接的完整流程。针对MySQL、PostgreSQL、SQL Server等常见数据库，整理相应的连接设置方法，并提供驱动缺失、认证失败和连接异常等问题的排查方向。
0
2026.11.04
热门下载
相关下载
精品课程
共6课时 | 12.1万人学习
共79课时 | 161.8万人学习
共6课时 | 54.7万人学习
最新文章
