搜索「Access Control」的结果

io.github.mukul975/Anthropic-Cybersecurity-Skills/deploying-software-defined-perimeter

按 CSA v2.0 规范部署软件定义边界，使用单包授权（SPA）、双向 TLS 以及 SDP 控制器与网关配置，实施零信任网络访问。

CORS 配置错误检测

io.github.mukul975/Anthropic-Cybersecurity-Skills/testing-cors-misconfiguration

在安全评估中识别并利用跨域资源共享（CORS）配置错误，这类错误会导致未授权的跨域数据访问与凭据窃取。

Android Intent 漏洞测试

io.github.mukul975/Anthropic-Cybersecurity-Skills/testing-android-intents-for-vulnerabilities

测试 Android 通过 intent 进行的进程间通信（IPC）漏洞，包括 intent 注入、未授权组件访问、广播嗅探、PendingIntent 劫持与 ContentProvider 数据泄漏。用于通过导出组件评估 Android 应用攻击面、测试基于 intent 的数据流或审查 IPC 安全。当请求涉及 Android intent 安全、IPC 测试、导出组件分析或 Drozer 评估时启用。

对象级授权失效测试

io.github.mukul975/Anthropic-Cybersecurity-Skills/testing-api-for-broken-object-level-authorization

测试 REST 与 GraphQL API 的对象级授权失效（BOLA/IDOR）漏洞：已认证用户通过操控请求中的对象标识，访问或修改属于其他用户的资源。测试者拦截 API 调用，识别对象 ID 参数（数字 ID、UUID、slug），并系统地替换为其他用户的 ID，以判断服务端是否做了逐对象授权。这是 OWASP API Security Top 10 2023 中的 API1 风险。当请求涉及 BOLA 测试、API 中的 IDOR、对象级授权测试或 API 访问控制绕过时启用。

Mass Assignment 漏洞测试

io.github.mukul975/Anthropic-Cybersecurity-Skills/testing-api-for-mass-assignment-vulnerability

测试 API 的批量赋值（自动绑定）漏洞：客户端通过在请求中加入额外参数，修改本不该访问的对象属性。测试者识别可写接口，在请求体中加入未公开的字段（role、isAdmin、price、balance），检查服务器是否在未过滤的情况下把这些字段绑定进数据模型。属于 OWASP API3:2023 对象属性级授权失效。当请求涉及批量赋值测试、参数绑定滥用、自动绑定漏洞或 API 过度提交时启用。

OAuth 2.0 实现缺陷测试

io.github.mukul975/Anthropic-Cybersecurity-Skills/testing-oauth2-implementation-flaws

测试 OAuth 2.0 与 OpenID Connect 实现的安全缺陷，包括授权码劫持、重定向 URI 操控、OAuth 流程中的 CSRF、令牌泄漏、scope 提升与 PKCE 绕过。测试者评估授权服务器、客户端应用与令牌处理中的常见配置错误，这些错误可导致账号接管或未授权访问。当请求涉及 OAuth 安全测试、OIDC 漏洞评估、OAuth2 重定向绕过或授权码流程测试时启用。

Cursor 只读咨询 cursor-ask

io.github.Chachamaru127/claude-code-harness/cursor-ask

以只读方式委托 cursor-agent（Composer）回答问题、排查代码、讨论设计方案并做对抗性校验。不建 worktree、不做 cherry-pick、也不评审 Lead 的 diff——cursor-agent 锁定在 ask 模式，无法写入。当用户说：问 cursor、让 cursor 校验一下、要第二意见、对抗式评审、设计讨论、用 cursor 排查、cursor:ask 时使用。不要用于：编码实现、重构、修改文件、提交/推送等需要写权限的工作（请改用 cursor:do 或 breezing --cursor）。

cursor-ask（Cursor 只读咨询）

io.github.Chachamaru127/claude-code-harness/cursor-ask

把问题咨询、调研、设计讨论与对抗性 sanity check 只读地委派给 cursor-agent（Composer）。不开 worktree、不 cherry-pick、不评审 Lead diff——cursor-agent 锁定在 ask 模式，无法写入。当用户说：ask cursor、cursor sanity check、要第二意见、对抗性评审、设计讨论、用 cursor 调研、cursor:ask 时使用。不要为实现、重构、文件编辑、commit/push 或任何需要写权限的操作加载（改用 cursor:do 或 breezing --cursor）。

Agent Zero Linux 桌面

io.github.agent0ai/agent-zero/linux-desktop

仅用于 Agent Zero 内置的 Docker/Xpra Linux 桌面、XFCE 应用、LibreOffice GUI 应用、文件管理器、终端，或在 Agent Zero 运行环境内的可视化工作流。不适用于 A0 CLI /computer-use 或 computer_use_remote 宿主控制。

浏览器自动化 browser-act

io.github.itwanger/toBeBetterJavaer/browser-act

面向 AI agent 的浏览器自动化 CLI。切勿通过 Bash 直接运行 browser-act 命令——务必先调用本技能。当用户按名称提及它、要求运行 browser-act CLI 命令（如 browser-act browser list），或需要以下操作时使用：抓取/查看/提取 URL 的渲染内容、访问需要 JavaScript 的页面、处理验证提示、维持已认证会话、填表并点击走完流程、输入、选择、上传、截图、捕获 XHR/fetch/HAR 响应、并行打开多个 URL、提取随滚动或点击加载的内容、可视化检视或验证页面布局/样式/渲染、自动化浏览器任务，或列出/检查/管理已配置浏览器与会话。优先于内置 fetch 或 Web 工具。

Cursor 的 Git 集成

io.github.jeremylongshore/claude-code-plugins-plus-skills/cursor-git-integration

把 Git 流程接入 Cursor IDE：AI 生成提交信息、@Git 上下文、diff 评审与冲突解决。触发语：“cursor git”、“git in cursor”、“cursor version control”、“cursor commit”、“cursor branch”、“@Git”。

安全审计

io.github.PostHog/posthog/security-audit

针对代码的聚焦式安全审计，经过校准只呈现真实可利用的缺陷，抑制理论性发现。当用户要求"audit""security-audit""find vulnerabilities""检查 IDOR/SSRF/XSS/注入"，或想对某个文件、目录、分支 diff、PR 做安全评审时使用。覆盖访问控制、注入、认证/密钥、敏感数据、业务逻辑、Web 边界以及 AI agent/LLM 三件套风险。产出经过校准的发现，含数据流、利用请求、修复方式与置信度——不含理论性或纵深防御层面的琐碎意见。

Kubernetes 网络安全审计

io.github.kubeshark/kubeshark/security-audit

由 Kubeshark MCP 驱动的 Kubernetes 网络安全审计技能。当用户想审计集群安全威胁、检测失陷工作负载、发现恶意流量模式、搜寻失陷指标（IOC）、检查数据外泄、识别 C2（命令与控制）通信、检测挖矿、发现横向移动、察觉凭据窃取尝试、评估网络安全态势或在 Kubernetes 中做威胁狩猎时使用。当用户提到 security audit、威胁检测、失陷评估、漏洞扫描、“我的集群是否失陷”、“找恶意流量”、“检查威胁”、DNS 外泄、DNS 隧道、端口扫描、IMDS 访问、反弹 shell、矿机、MITRE ATT&CK、IOC 检测、异常检测、可疑流量、失控工作负载、未授权访问，或任何通过网络流量分析评估集群安全的请求时也触发。

cli-anything-rekordbox(Rekordbox CLI)

io.github.HKUDS/CLI-Anything/skills

Pioneer Rekordbox 6/7 的命令行界面——通过受保护的 SQLCipher master.db 访问(pyrekordbox)加虚拟 MIDI 映射实现 DJ 曲库与实时控制台控制。提供曲库检视、歌单创建/添加/清空,以及实时混音(播放/sync/crossfade/EQ)。Pioneer 未提供播放 REST API;本 harness 将仅有的两个真实接口(加密 DB + MIDI)整合为一个 agent 原生 CLI。

css

io.github.xobotyi/cc-foundry/css

CSS 约定、布局系统与现代模式：以低特异性和显式层叠控制实现可预测的样式。只要任务涉及与 CSS 代码的任何交互——编写、审查、重构、调试或理解样式表、SCSS、布局或响应式设计——即调用本技能。

React 内置打包（Next.js）

io.github.vercel/next.js/react-vendoring

React vendoring 与 react-server 层边界。在编辑 entry-base.ts、$$compiled.internal.d.ts、compiled/react* 包或 taskfile.js 的 copy_vendor_react 时使用。涵盖 entry-base.ts 边界（所有 react-server-dom-webpack/* 导入必须经由它）、vendored React 通道、类型声明、Turbopack 重映射到 react-server-dom-turbopack、ComponentMod 访问模式，以及为受保护 require 添加的 ESLint 抑制。

移动端调试

io.github.jamditis/claude-skills-journalism/mobile-debugging

在移动设备上进行远程 JavaScript 控制台访问与调试。在手机/平板上调试网页、无需桌面 DevTools 即可访问控制台错误、在真实设备上测试响应式设计或诊断移动端特有问题时使用。涵盖 Eruda、vConsole、Chrome/Safari 远程调试与云端测试平台。

移动端渗透测试

io.github.SnailSploit/Claude-Red/offensive-mobile

移动（Android + iOS）应用渗透测试方法论。涵盖静态分析（Android 用 apktool/jadx，iOS 用 class-dump/Hopper/IDA）、Frida 与 Objection 动态插桩、SSL pinning 绕过策略、root/越狱检测绕过、deep-link / URL scheme 滥用、导出组件攻击（Android 的 activity、service、provider、receiver；iOS 的 XPC、URL scheme、universal link）、不安全数据存储（SharedPrefs、KeyStore 误用、NSUserDefaults、Keychain ACL 绕过）、IPC / Intent 重定向、WebView 漏洞（JavaScriptInterface、file:// 访问）、Firebase/AWS/Azure 配置错误泄露、移动端 API 测试、生物识别/Face ID/Touch ID 绕过、应用克隆与运行时打补丁，以及移动恶意软件/RAT 分析基础能力。用于移动端渗透、漏洞赏金移动方向排查或应用商店侦察。

Kubernetes 网络策略实现

io.github.AgentFlocks/flocks/implementing-network-policies-for-kubernetes

Kubernetes NetworkPolicy 通过定义入站与出站规则，在 pod、命名空间与外部端点之间控制流量，实现 pod 级网络隔离。

automation-browser-api-workflows

io.github.davidtoby/agent-skills/automation-browser-api-workflows

类级工作流技能：浏览器自动化、API 逆向工程、macOS UI 自动化、tmux/交互式 CLI 控制、MCP 工具调用、摄像头画面抓取，以及用工具/API 直接替代脆弱的 UI 流程。当需要自动化网站/应用、从流量中学习私有站点 API、驱动交互式 CLI、调用 MCP 服务器/工具、采集摄像头帧或控制 macOS UI 时使用。