Agent Skills
返回列表
Metago 安全快速审计

Metago 安全快速审计

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_c0c2196f/metago-security-audit。

技能介绍

个人开发中的安全自查缺口

个人开发者面对的安全审计往往卡在「做不了」和「没必要」之间。代码合并前想确认有没有明显漏洞，依赖更新时想确认有没有已知 CVE，但完整渗透测试对个人项目来说成本过高。结果就是：要么跳过安全检查直接上线，要么手动扫一遍却漏掉了很多高频问题——路径遍历、硬编码密钥、过时依赖，这些都在 OWASP Top 10 里反复出现，却恰恰最容易在快速自查中被忽略。

基于 OWASP Top 10 的自查流程

这个技能把审计范围锁定在 OWASP Top 10 的十类高频风险上，从 A01 失效的访问控制到 A10 SSRF，每一类都有明确的检查项。例如 A01 关注路径遍历、越权访问和未授权端点，A02 检查明文传输、弱加密算法和硬编码密钥。

触发条件覆盖了几个高频场景：

  • 用户主动请求安全审计、漏洞扫描或渗透测试
  • 代码合并前的快速安全自查
  • 依赖更新时的快速安全评估
  • 与合规检查联动的快速安全审查

技能会同步检查依赖漏洞、敏感信息和安全配置的明显问题，并按 CVSS 标准给出分级：Critical（9.0–10.0，24 小时内处理）到 Low（0.1–3.9，下个版本处理）。

三段式输出与升级路径

快速自查的输出固定为三部分：

  1. 审计概览：审计范围、总体安全评级、问题总数与等级分布
  2. Top 5 高危问题：每个问题附带位置、漏洞类型、影响、修复方向，以及对应的 OWASP 类别和等级
  3. 下一步建议：优先修复项与升级路径

如果需要完整交付——全部漏洞详情、依赖 CVE 清单、敏感信息检测表、安全配置检查表、可存档的完整报告——可以切换到专业版 metago-security-audit-pay。

适用边界

需要明确的是，快速自查是 AI 辅助静态分析，不替代专业渗透测试。关键漏洞仍需人工复核。免费版只输出概要结果，不能用于正式交付或合规审计。技能不会泄露密钥原文，不会虚构漏洞；遇到不确定项会标注置信度，遇到空内容或格式异常会引导补充材料，而不是臆测输出。如果未发现高危问题，输出会附上安全配置检查结果与分析假设，而不是给出「绝对安全」的结论。

使用场景

  • 功能分支准备合并到主干前，独立开发者需要快速确认代码是否存在 SQL 注入或越权访问等 OWASP 高危风险。
  • 对 package.json 做依赖大版本升级时，个人开发者需要评估新引入的包是否携带已知 CVE 漏洞。
  • 项目即将交付给客户前，独立开发者或小团队负责人需要一份安全概览来说明已排查的主要风险点。
  • 在 CI/CD 流水线中接入轻量级检查，小团队工程师需要在每次合并前获取高危问题摘要与修复方向。

适合人员

  • 独立开发者——个人项目没有专职安全人员，想在代码合并前快速排查 OWASP 十类高频风险。
  • 自由开发者——向客户交付代码前，需要一份能说明已做基本安全自查的概要结果留档。
  • 小团队技术负责人——团队没有专职安全岗，需要在依赖更新或版本发布前做常规安全检查。
  • 参与合规检查的开发者——需要按 OWASP Top 10 快速自查并产出可说明风险排查过程的概要报告。