静态分析技能专注于使用CodeQL和Semgrep进行代码静态分析，以检测安全漏洞、评估代码质量和确保安全合规。它支持多种编程语言，生成标准SARIF输出，便于集成到开发流程中，如CI/CD管道。关键词：静态代码分析、CodeQL、Semgrep、漏洞扫描、安全审计、代码审查、SARIF格式、自动化安全测试、安全合规扫描。

这个技能用于将现有的Semgrep安全规则移植到新的编程语言，通过适用性分析和测试驱动验证，确保漏洞检测规则在多语言环境中的准确性和有效性。关键词：Semgrep, 规则移植, 安全测试, 代码分析, 漏洞挖掘, 多语言支持, 静态分析

SpecStory守卫是一个预提交钩子工具，用于扫描.specstory/history文件夹中的潜在秘密，如API密钥和令牌，以防止敏感数据被提交到Git仓库。它支持手动扫描、自动检查和安全审计，帮助开发者在AI编码会话中保护数据安全。关键词：SpecStory, 秘密扫描, 安全扫描, Git钩子, 预提交检查, API密钥保护, 代码审计。

这个技能是一个AI驱动的安全分析工具，专门用于代码漏洞检测和依赖安全扫描。它能够识别硬编码秘密、各种注入攻击、弱加密算法、认证漏洞以及LLM相关的提示注入风险。通过集成OSV.dev数据库，自动扫描依赖包中的已知CVE漏洞。适用于软件开发、安全审计和CI/CD流程中的自动化安全检查，关键词包括安全分析、代码审计、漏洞检测、依赖扫描、AI安全、Gemini CLI、安全工具。

本技能是一个AI驱动的自动化事件响应助手，用于帮助企业及IT团队高效处理各类技术故障与安全事件。它能够根据事件描述自动评估严重等级（P1-P4），生成定制化的响应清单、沟通计划与实时时间线，并最终提供结构化的事后复盘模板，助力团队实现快速检测、分类、遏制、解决与持续改进。适用于服务中断、数据泄露、安全攻击、性能降级等多种场景，是提升运维效率与保障业务连续性的关键工具。 关键词：事件响应， 应急响应， 故障处理， 安全事件， 服务中断， 运维自动化， 事后复盘， 根本原因分析， 沟通计划， 严重性分类， DevOps， SRE， IT运维， 业务连续性

Claude配置安全扫描器是一款专为Claude Code项目设计的自动化安全审计工具。该技能使用AgentShield技术，全面扫描.claude/目录下的配置文件，包括CLAUDE.md、settings.json、MCP服务器配置、钩子脚本和智能体定义，检测硬编码密钥、权限配置错误、命令注入风险、提示注入漏洞等安全问题。支持多种输出格式、自动修复功能、深度分析和CI/CD集成，帮助开发者在配置AI助手时确保安全合规，防止数据泄露和恶意攻击。关键词：Claude安全扫描、AI配置审计、AgentShield、代码安全、漏洞检测、权限管理、提示注入防护、DevSecOps。

渗透测试框架，用于漏洞验证、授权安全评估和Metasploit框架的利用开发。

本技能（安全工程）是一套全面的网络安全专业知识体系，专注于构建和维护安全的软件系统与基础设施。它涵盖了从安全架构设计（如纵深防御、零信任）、身份验证与授权模式（OAuth、RBAC/ABAC）、安全开发实践（OWASP Top 10缓解、SAST/DAST测试、密钥管理），到合规框架（SOC2、HIPAA、GDPR）遵循和事件响应流程的完整生命周期。适用于安全工程师、开发人员、架构师和合规专家，用于在系统设计、编码、部署和运维各阶段实施有效的安全控制，以防范威胁、保护数据并满足法规要求。关键词：网络安全，安全架构，零信任，身份验证，授权，OWASP，合规，SOC2，HIPAA，事件响应，安全开发。

这是一个用于审计 Claude Code 设置文件的技能，确保 JSON 语法有效性、模式合规、权限配置、安全设置，防止暴露密钥，适用于部署前验证和安全检查。关键词：审计、设置文件、安全、合规、JSON、Claude Code、DevOps。

软件成分分析与容器漏洞扫描工具，使用 Aqua Trivy 识别依赖项中的 CVE 漏洞、容器镜像和基础设施即代码（IaC）配置错误以及许可证合规风险。适用于扫描容器镜像和文件系统漏洞、分析多语言依赖项 CVE、检测 IaC 安全问题、集成 CI/CD 漏洞扫描、生成软件物料清单（SBOM）以及按 CVSS 评分和可利用性优先级补救。

这个技能涉及通过多种安全测试方法，如SAST、DAST、渗透测试和依赖扫描，来识别和修复应用程序中的安全漏洞，确保数据安全和系统完整性。

提供全面的跨站脚本攻击（XSS）防护策略，包括输入清理、输出编码、内容安全策略（CSP）和安全编码实践，以确保Web应用安全。