Agent Skills
返回列表
🔒

安全审计助手

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @kunlungrowth/security-reviewer。

技能介绍

解决什么问题

安全审查往往卡在三件事上：不确定风险在哪、严重级别怎么定、修复方案能不能直接落地。团队在代码评审里能发现部分 OWASP Top 10 问题，但缺乏一致的严重程度口径，报告经常前后矛盾；有些漏洞被标成 high，却没有说明利用难度与影响范围，另一部分问题被轻描淡写。安全修复也常停在“建议参数化查询”“加强输入校验”这类描述，工程师看完仍要自行补全实现。

它如何工作

  • 明确审计范围与信任边界，先把目标说清楚
  • 按 OWASP Top 10 逐项排查，结合代码上下文识别问题
  • 依据影响与利用难度给出严重级，并标注对应 CWE
  • 输出结构化工件 SecurityAudit，字段包含 target、findings、score
  • 附带自然语言摘要，列出最该先改的 2–3 点，并给出可验证的修复

工件可用于二次优化：如果你已经有 SecurityAudit，也可以再投喂给它做补充评审。下游可交给 secure-code-guardian 继续处理修复落地。

适用边界与注意点

它不替代动态渗透测试与正式合规认证。涉及线上环境、越权验证或模糊测试的部分，需要在已授权的测试环境中进行，不要把评审结果当作安全认证结论。

使用场景

  • 评审登录服务代码时，定位 SQL 注入、越权校验缺失等高危问题，并输出带严重级与修复指引的审计报告。
  • 复核外部漏洞扫描结果时，区分真实风险与误报，给出可验证的修复建议与整改优先级。
  • 按 OWASP Top 10 对新上线模块做逐项排查，产出含 CWE 编号的安全工件供下游修复任务消费。
  • 安全需求评审中，评估现有代码的风险等级，形成结构化的安全评审记录。

适合人员

  • 负责登录与鉴权模块的后端工程师，想在合并请求前识别注入与越权风险。
  • 需要给业务方解释审计结论的安全负责人，想要严重级评定与修复步骤。
  • 把安全审计接入交付流水线的 DevOps 工程师，希望用结构化工件对接下游修复工具。
  • 编写重构计划的技术负责人，需要判断遗留系统中最值得先改的安全问题。