github地址 https://github.com/cloudflare/security-audit-skill一、使用场景1、 使用场景核心一句话你手上有一堆代码想知道哪里可能被﨤。凡是满足这个的都适用。场景典型诉求用哪个模式上线前安全评审“这个服务下周上线帮我过一遍”full audit代码库接手/尽调“刚接手这个老项目不知道有多少坑”full audit定向排查“这个 JWT 校验逻辑有问题吗”guidance只问答CI / 例行巡检每周对主干跑一轮看新引入的问题full audit多轮增量漏洞复现与定级“这里怀疑是越权帮我确认下能不能真的读到别人数据”full audit修完复验“上次那 3 个问题修了帮我复验”full audit复用 prior ledger不适用已部署系统的黑盒渗透、SRC 打点、压力测试、社工——这套明令禁止对线上目标发起任何请求。按目标类型挂不同领域包来自ATTACK-CLASSES.md目标挂载的 companionC/C/Rust-unsafe、内核、解析器、固件MEMORY-SAFETY-AND-BINARY.md聊天机器人、RAG、Agent、MCPAI-AND-LLM.mdWeb 应用、API、反向代理、OAuth/JWTWEB-PROTOCOL-AND-AUTH.mdSPA、浏览器扩展、webviewCLIENT-SIDE.mdCI/CD、依赖、签名发布SUPPLY-CHAIN-AND-RELEASE.mdIAM、K8s、IaC、ServerlessCLOUD-AND-DEPLOYMENT.mdgRPC、消息队列、webhookPROTOCOLS-RPC-AND-MESSAGING.md多租户数据、备份/删除/迁移DATA-ISOLATION-AND-LIFECYCLE.md桌面/移动 App、本地 IPCDESKTOP-MOBILE-AND-LOCAL-IPC.md资源耗尽 / 可用性RESOURCE-EXHAUSTION-AND-AVAILABILITY.md2、怎么用1. 安装npx skillsaddhttps://github.com/cloudflare/security-audit-skill--skillsecurity-audit# 加 --global 装到用户级2. 在目标代码库里启动 agent然后一句话触发security audit this codebasefind security vulnerabilities in ./srcdo a security review, output to ~/audits/my-project触发规则明确要求审计/渗透/全量评审→full audit跑 6 阶段、写产物只是安全提问、定向评审→guidance只答不建目录不写文件歧义时 → agent 先问你一句再动3. 前置条件缺一不可条件不满足的后果支持工具调用 并行子 agent 的模型无法编排 hunter/verifierNode.js跑两个零依赖校验器无法校验账本与 findingsOS 级沙箱禁外网、环境变量白名单、目标只读、仅能写scratch/、资源限额目标代码不执行发现降级为needs_validation二、示例一次代码审查1、安装npx skillsaddhttps://github.com/cloudflare/security-audit-skill\--skillsecurity-audit\--global2、使用do a security audit of E:\GitProject\wemart.info3、代码审查结果- REPORT.md — 完整安全审计报告包含严重性表格、发现项和修复建议- FINDINGS-DETAIL.md — 每个发现项的详细复现步骤和代码修复方案- NEEDS-VALIDATION.md — 尚未解决的验证事项及其行动计划- findings.json — 符合 schema 校验的结构化发现项JSON 格式- architecture.md — 架构与信任边界摘要- coverage-ledger.json — 覆盖账本包含 8 个单元- run-metadata.json — 运行元数据 各文件用途详解文件用途REPORT.md审计报告主文件给人看的总结性文档包含严重性分级表、所有发现项和修复建议。FINDINGS-DETAIL.md针对每个漏洞的详细说明包括如何复现、具体怎么修。开发人员按这个改代码。NEEDS-VALIDATION.md那些还没验证完、无法下定论的问题列出接下来要做什么来验证。findings.json机器可读的结构化数据格式受 schema 约束方便自动化处理或导入其他工具。architecture.md系统架构和信任边界的梳理结果是审计的基础地图。coverage-ledger.json覆盖账本记录审计覆盖了哪些单元这里是 8 个单元确保没有遗漏。run-metadata.json本次审计运行的元信息如时间、版本、配置等。 这套文件的设计逻辑这是一套完整的审计交付物分层设计给人看REPORT.md、FINDINGS-DETAIL.md、NEEDS-VALIDATION.md。给机器看findings.json、coverage-ledger.json、run-metadata.json。过程性文档architecture.md。这样既方便人工阅读和决策也方便自动化工具消费和校验保证审计结果的可追溯、可复现、可验证。
