Skill Safety Auditor_IT运维与安全 skill-PHP中文网

Skill Safety Auditor

Polar Sponsor

爱发电赞助

.NET 9.0

立即下载

全面审计技能安全性，识别漏洞、不安全模式及合规性问题

技能安全审计师概览:技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审

功能概述

技能安全审计师概览:技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审计师技能安全审是一项面向实际任务的技能。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。

核心要点

使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。
该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。
从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。

使用与执行

实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。

结果检查与注意事项

执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。

Skill Safety Auditor

概述

skill-safety-auditor 技能对技能执行全面的安全审计，用于识别漏洞、不安全的代码模式、权限问题及合规性违规。它有助于确保技能在发布或部署前符合安全标准。

适用场景

技能开发过程中，用于早期发现问题
将新技能发布至生产环境之前
作为发布审批流程的一部分
当用户明确要求对某技能执行“audit”（审计）或“security check”（安全检查）时
定期开展安全审查期间
审查第三方技能时

核心概念

审计类型

类型	说明	耗时
`quick-scan`	快速表层检查	约 1 秒
`audit`	全面分析	约 5–10 秒
`report`	完整审计并输出 JSON 格式报告	约 10 秒

漏洞类别

类别	检测内容	严重程度
`secrets`	硬编码的 API 密钥、密码、令牌	Critical
`injection`	命令注入、路径遍历	High
`permissions`	不安全的文件权限	Medium
`dependencies`	已知存在漏洞的依赖项	High
`network`	不安全的 HTTP 连接	Low

严重程度等级

Critical：存在即时安全风险，必须在发布前修复
High：存在显著风险，强烈建议修复
Medium：存在中等风险，应予以处理
Low：属于轻微问题，可酌情修复
Info：仅提供信息参考，无需强制处理

输入

支持以下输入：

技能目录路径
审计类型指定
输出格式偏好
漏洞类型筛选器

输出

生成以下内容：

含检测结果的控制台输出
JSON 格式的审计报告
汇总统计信息
通过/失败状态标识

工作流

快速安全检查

对目标技能运行 quick-scan
审查是否存在需立即处理的问题
优先修复 Critical / High 级别问题

全面审计

启用详细输出模式运行完整审计
按严重程度逐条审查所有发现项
生成 JSON 报告存档备查
按优先级顺序处理各项问题
修复后重新运行审计以验证效果

发布前审计

启用全部检查项对技能执行审计
生成正式审计报告
与团队共同评审报告
修复所有 Critical / High 级别问题
对已接受的 Low 风险项进行书面记录

命令

快速扫描

./scripts/quick-scan.sh /path/to/skill

完整审计

./scripts/audit-skill.sh /path/to/skill --verbose

生成报告

./scripts/audit-skill.sh /path/to/skill --output report.json

按类型筛选

./scripts/audit-skill.sh /path/to/skill --types secrets,injection

列出历史审计记录

./scripts/list-audits.sh [--skill ] [--since 2024-01-01]

输出格式

控制台输出

🔍 Starting security audit: my-skill
================================
✅ SKILL.md exists
Scanning for secrets...
Scanning for injection vulnerabilities...
[high] injection: eval() detected
  File: src/utils.js:15
  Recommendation: Avoid eval(), use safer alternatives

================================
Validation complete:
  Errors: 0
  Warnings: 1
❌ Validation FAILED

JSON 报告

{
  "audit_id": "AUDIT-20240313-001",
  "skill": "my-skill",
  "timestamp": "2024-03-13T10:30:00Z",
  "summary": {
    "critical": 0,
    "high": 1,
    "medium": 2,
    "low": 3,
    "info": 1
  },
  "findings": [
    {
      "id": "SEC-001",
      "severity": "high",
      "type": "injection",
      "file": "src/utils.js",
      "line": 15,
      "description": "eval() detected - potential code injection",
      "recommendation": "Avoid eval(), use safer alternatives"
    }
  ],
  "passed": false,
  "recommendations": [
    "Remove eval() from src/utils.js:15",
    "Add input validation to all user inputs"
  ]
}