Agent Skills
返回列表
🔒

安全审计

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/security-audit-skill。

技能介绍

解决什么问题

Web 应用的安全审计常面临三个痛点：人工审计覆盖不全、工具链配置复杂、漏洞报告难以复现。开发团队在迭代中容易遗漏接口鉴权、参数污染等风险，而通用扫描器又因规则固化难以适配业务逻辑。

技能如何工作

该技能基于 ZAProxy 上游文档构建，核心能力聚焦 自动化安全扫描 与 漏洞验证：

  • 环境适配：通过 Java 或 Docker 环境运行，适配 CI/CD 流水线集成
  • 扫描执行：利用 ZAProxy 的 主动扫描 和 被动扫描 能力，覆盖常见 Web 漏洞
  • 结果解析：生成结构化报告，包含漏洞类型、风险等级及修复建议

关键步骤包括：配置扫描目标 → 设置认证凭据 → 执行扫描策略 → 分析输出报告。

适用边界

  • 依赖限制：需预装 Java 11+ 或 Docker 环境，否则无法触发扫描
  • 场景限制：仅适用于 HTTP/HTTPS 协议 的 Web 应用，不包含 API 安全测试或移动端审计
  • 规则限制：漏洞规则依赖 ZAProxy 官方维护，定制化检测需自行扩展插件

使用场景

  • 开发团队在 CI/CD 流水线中对即将发布的 Web 应用执行自动化安全扫描，确认无高危漏洞后再部署上线
  • 安全工程师对客户交付的 Web 服务进行合规审计，需要生成符合标准的漏洞检测报告
  • 运维人员在容器化环境中对 Web 服务进行定期安全巡检，排查认证与授权方面的漏洞
  • 测试工程师在版本发布前对后台管理页面执行安全扫描，验证登录与权限控制逻辑是否存在风险

适合人员

  • 开发团队负责人需要在代码合并前对 Web 应用执行安全扫描，防止漏洞流入生产环境
  • 安全合规工程师需要对交付的 Web 系统出具漏洞扫描报告，满足合规审计要求
  • 运维工程师需要在容器化部署环境中定期对 Web 服务进行安全巡检，及时发现暴露的接口风险
  • 全栈开发者需要在本地开发阶段快速验证 Web 应用的安全性，避免上线前才发现鉴权漏洞