前言¶
上線前做安全自查，很多團隊仍停留在「憑經驗掃一眼」：密鑰有沒有硬編碼、SQL 是不是拼接出來的、依賴有沒有已知 CVE——清單在腦子裏，執行卻常常不完整。人工 Code Review 能補一部分，但 OWASP Top 10 覆蓋面廣，單靠記憶很容易漏項。
與此同時，Agent Skill 生態也在快速擴張。社區研究對數萬條公開 Skill 做大規模掃描後發現，相當比例存在提示注入、數據外泄等風險；SkillScan 等工具因此專門面向「Skill 本身是否安全」做靜態分析。反過來，我們自己的業務代碼同樣需要一套可複用的審計流程——這正是 auditing-security 要解決的問題：把常見 Web 安全審查步驟寫進 SKILL.md，讓 Cursor 等 AI 編程 Agent 按清單系統性掃代碼，而不是每次從零即興發揮。
這是什麼¶
auditing-security 是 awesome-cursor-skills 精選列表裏「Code Quality & Security」分類下的一個 Skill，維護者爲 Spencer Pauly 社區倉庫。它基於通用 SKILL.md 格式：一段 YAML frontmatter 加結構化指令正文，可被 Cursor、Claude Code、Codex CLI 等支持 Agent Skills 的工具自動發現與調用。
官方描述很直白：對代碼庫進行系統性安全審計，檢查 OWASP Top 10 相關漏洞、密鑰泄露與不安全編碼模式。Skill 本身不跑滲透測試，而是引導 Agent 做靜態代碼審查，並在最後輸出帶嚴重等級（Critical / High / Medium / Low）的 findings 報告。
需要區分的是：auditing-security 審計的是你的項目代碼；SkillScan 等工具審計的是第三方 Skill 包——兩者關注點不同，但在「AI 輔助開發的安全閉環」裏可以配合使用：先審查要安裝的 Skill，再定期對業務倉庫做本 Skill 定義的審計流程。
核心功能與亮點¶
Skill 正文把審計拆成 7 個固定步驟，Agent 按序執行，避免「只查密鑰、不看鑑權」這類片面審查。
1. 掃描硬編碼密鑰
在源碼中搜索 API Key、Token、密碼、連接串等模式，例如 password=、secret=、token=、api_key=，以及 Base64 編碼憑證、AWS Key（AKIA...）、Stripe Key（sk_live_...）、GitHub Token（ghp_...）。同時檢查 .env 是否誤提交進 Git、config.json 是否含明文憑證。
2. 認證與授權
確認 API 路由在處理請求前完成鑑權；RBAC 必須在服務端強制執行，不能只在 UI 層做限制；密碼哈希應使用 bcrypt/argon2，而非 MD5/SHA1；Session Token 需設置 HttpOnly、Secure，並具備合理過期時間。
3. 注入類漏洞
- SQL 注入：字符串拼接 SQL，而非參數化查詢
- XSS：
dangerouslySetInnerHTML、innerHTML或未轉義的用戶輸入渲染 - 命令注入：
exec()、eval()、child_process.exec()等接收用戶輸入 - 路徑遍歷：文件操作路徑未對用戶輸入做 sanitize
4. 依賴安全
建議運行 npm audit 或 pip audit，標記含已知 CVE 的過時依賴，並關注版本範圍是否過於寬鬆。
5. CORS 與 CSP
生產環境不應使用 Access-Control-Allow-Origin: *；檢查是否配置 Content-Security-Policy，以及 X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security 等安全響應頭。
6. 數據暴露
API 響應是否泄露密碼哈希、內部 ID、PII；生產環境錯誤信息是否暴露堆棧；日誌是否寫入敏感數據。
7. 生成報告
彙總所有發現，標註嚴重等級，並給出文件路徑、行號與修復建議。
Skill 還在 Notes 中明確邊界：這是代碼審查，不是滲透測試；可配合 npm audit、Trivy、Snyk 等自動化掃描；應檢查 .gitignore 是否排除 .env 與密鑰文件；深度審計可參考 OWASP Testing Guide。
安裝與啓用¶
awesome-cursor-skills 的說明是：將 SKILL.md 複製到 Cursor 的 skills 目錄即可，Agent 會自動發現。Cursor 中 skills 通常放在用戶級 .cursor/skills/ 或項目級 .cursor/skills/ 下。
方式一：手動複製（官方推薦）¶
在項目根目錄執行：
mkdir -p .cursor/skills/auditing-security
curl -o .cursor/skills/auditing-security/SKILL.md \
https://raw.githubusercontent.com/spencerpauly/awesome-cursor-skills/main/resources/auditing-security/SKILL.md
若希望所有項目共用，把路徑中的 .cursor/skills/ 換成用戶主目錄下的 ~/.cursor/skills/ 即可。
方式二：使用 skills CLI¶
awesome-cursor-skills README 也列出了 npx skills 作爲 Skill 管理工具。該 CLI 支持 Cursor、Claude Code、Codex 等 70 餘種 Agent，可按倉庫路徑安裝單個 Skill：
npx skills add https://github.com/spencerpauly/awesome-cursor-skills/tree/main/resources/auditing-security -a cursor -y
需要同時給 Claude Code 或 Codex 安裝時，在 -a 後追加對應 agent 名稱即可，具體列表見 skills CLI 文檔。
安裝完成後無需額外配置：當對話中出現「審計安全」「檢查漏洞」「review security」等意圖時，Agent 會按 Skill 描述自動匹配並加載 auditing-security 的工作流。
典型用法示例¶
Skill 的觸發場景在 frontmatter 與正文中寫得很清楚——用戶提出安全審計、漏洞檢查、安全加固類需求時啓用。以下是幾種可直接復現的提示詞：
全庫審計（最常用）
請對當前代碼庫做全面安全審計，按 OWASP Top 10 檢查密鑰泄露、注入、鑑權與依賴漏洞，並輸出帶嚴重等級的報告。
上線前專項檢查
我們準備發佈新版本，請重點檢查：1）有沒有硬編碼密鑰或誤提交的 .env；2）所有 API 是否做了鑑權；3）SQL 與 XSS 風險點。給出文件路徑和修復建議。
依賴與配置審查
運行 npm audit（或 pip audit），並檢查 CORS、CSP 和安全響應頭配置是否合理，彙總 Critical/High 級別問題。
Agent 加載 Skill 後會按 7 步清單逐項搜索與閱讀代碼，最終輸出結構化 findings。你也可以限定範圍，例如「只審計 app/api/ 目錄下的路由鑑權」。
適用場景與注意事項¶
適合誰、什麼場景
- 個人或小團隊在合併 PR、發版前做輕量級安全自查
- 接手陌生代碼庫時的首輪安全摸底
- 安全專項不夠專職、又希望審查有清單、可重複的開發團隊
- 與
reviewing-code、parallel-code-review（awesome-cursor-skills 同倉庫中的並行 Code Review Skill）配合：功能審查與安全審查分工進行
限制與注意
- 不能替代專業滲透測試與合規審計。Skill 明確寫的是 code review；生產級保障仍需 DAST/SAST 工具、WAF、滲透測試與流程規範。
- Agent 輸出需人工複覈。AI 可能誤報或漏報，Critical/High 項務必由開發者確認後再改。
- 與 Skill 供應鏈安全是兩條線。安裝社區 Skill 前，建議閱讀
SKILL.md全文及 bundled 腳本；可用 SkillScan 等工具掃描 Skill 包本身。auditing-security來源是 GitHub 公開倉庫，安裝前同樣建議掃一眼原文，再複製到本地。 - 依賴掃描需本地環境。
npm audit/pip audit能否執行取決於項目是否已安裝對應包管理器與 lockfile。 - 多工具路徑略有差異。本文安裝方式以 awesome-cursor-skills 與 skills CLI 文檔爲準；Claude Code 等項目級 skills 目錄可能是
.claude/skills/，複製同一SKILL.md即可，具體以各工具官方文檔爲準。
小結¶
auditing-security 把 OWASP 導向的安全審查清單固化成 Agent 可執行的 7 步工作流：從密鑰、鑑權、注入，到依賴、CORS/CSP、數據暴露，再到分級報告——讓「做一次完整安全掃一遍」不再依賴審查者當天的記憶狀態。它審計的是你的業務代碼；在 Skill 生態風險被頻繁討論的今天，與 SkillScan 等「審 Skill」工具形成互補，更接近一條完整的 AI 輔助開發安全鏈路。
官方 Skill 與倉庫地址：
