前言¶
現代 Web 與 API 普遍用 JWT 承載身份，用 OAuth 2.0 做授權與第三方登錄。人工做滲透或代碼審計時，往往要在「算法與密鑰」「聲明篡改」「回調與 state」「令牌泄露面」之間來回切換文檔和 checklist，Agent 也容易泛泛而談、漏掉可復現的測試順序。
下面介紹 SkillHub 上的社區技能 JWT/OAuth令牌攻擊（座標 @user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6）。它把 JWT/OAuth 令牌相關任務收斂成可被 Agent 加載的 SKILL 包，目標是讓助手在授權範圍內的安全工作中，按統一上下文推進，而不是每次從零拼湊提示詞。
這是什麼¶
JWT/OAuth令牌攻擊 是面向 AI Agent 的專用 Skill，簡介爲：JWT/OAuth 令牌攻擊專用技能，幫助 AI Agent 高效完成相關任務。
- 維護方：SkillHub 社區發佈者
user_3c6cb52e，來源標註爲community。 - 分類：
it-ops-security。 - 當前版本：
1.0.0。 - 依賴：標籤
requires_api_key=false，不強制配置第三方 API Key。
公開頁面未附帶完整 SKILL.md 正文；能力邊界以 SkillHub 簡介與安裝後的本地 SKILL.md 爲準。安裝前不宜假設具體攻擊條目或工具鏈。
核心功能（已覈實範圍）¶
根據 SkillHub 與 API 元數據，目前能確認的能力表述只有一層：
- 領域聚焦：JWT 與 OAuth 令牌相關的安全測試與任務編排（名稱與簡介一致）。
- Agent 集成：採用通用 Skill 格式，供 Cursor、Claude Code、Codex 等客戶端在 skills 目錄中加載後，由模型按技能說明執行。
- 無 Key 門檻：
requires_api_key=false，不依賴 SkillHub 側額外密鑰配置。
更細的步驟、檢查清單或命令示例，需在安裝成功後閱讀技能目錄內的 SKILL.md；本文不展開未在官方頁面展示的條目。
安裝與啓用¶
SkillHub 頁面給出的安裝指引是：讓 AI 參照 SkillHub 安裝與優先源配置，安裝座標 @user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6。
1、安裝 SkillHub CLI¶
先確認本機是否已有 CLI：
command -v skillhub && skillhub --version
若未安裝，可按官方文檔執行完整安裝（CLI + 默認 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
僅安裝 CLI 時：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2、安裝到當前 Agent 的 skills 目錄¶
官方強調：安裝時必須用 --dir 指向當前 Agent 識別的 skills 目錄，否則默認落在 ./skills/ 可能不會被加載。
skillhub install user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6 --dir <你的 skills 目錄>
常用路徑（來自 SkillHub 安裝文檔）：
| 客戶端 | skills 目錄 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或項目下 .agents/skills/ |
| Windsurf | ~/.codeium/windsurf/skills/ 或項目下 .windsurf/skills/ |
示例（Cursor）：
skillhub install user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6 --dir ~/.cursor/skills/
安裝後按所用客戶端要求刷新或重啓，使新 Skill 進入可用列表。若 CLI 提示索引無匹配，頁面亦建議通過 slug 直接安裝；仍失敗時以 SkillHub 技能頁 與 CLI 報錯爲準排查。
典型用法¶
官方資料給出的可復現流程主要是「安裝座標 + 讓 Agent 讀取 SKILL.md」：
- 完成上一節安裝，確認技能目錄下存在該 Skill 的文件（通常含
SKILL.md）。 - 在對話中說明任務場景（例如：對已授權目標做 JWT/OAuth 相關安全評估），並明確要求遵循已安裝的 JWT/OAuth令牌攻擊 技能。
- 由 Agent 根據
SKILL.md中的步驟與檢查項輸出測試思路、請求構造或審計要點。
SkillHub 技能頁未提供獨立於安裝之外的官方演示腳本或樣例倉庫鏈接；典型用法即「加載技能 → 在授權範圍內執行任務」。
適用場景與注意¶
適合誰
- 安全工程師、滲透測試人員在已取得書面授權的前提下，希望 Agent 在 JWT/OAuth 令牌主題上保持一致的測試語境。
- 開發與 SRE 在內部安全演練或紅藍對抗劇本中，需要助手按 Skill 結構複述風險點與驗證順序（仍以人工複覈爲準）。
限制與注意
- 技能內容爲攻擊性安全知識，僅用於合法授權測試；未授權掃描或利用可能違法。
- 社區來源（
community），使用前請自行評估內容與本地合規要求；SkillHub 元數據中的評分爲100000，下載量1266，安裝計數0，反映的是平臺統計，不代表你環境中的可用性。 - 公開簡介未列出細粒度能力，勿默認與同名開源 playbook 完全等價；以你安裝得到的
SKILL.md爲唯一操作依據。
結尾¶
JWT/OAuth令牌攻擊 在 SkillHub 上定位爲 JWT/OAuth 令牌方向的 Agent 專用技能，版本 1.0.0，無需 API Key。價值在於把令牌相關任務沉澱爲可加載的 Skill，減少重複提示詞，並把執行細節交給安裝後的 SKILL.md。
- 技能頁：https://www.skillhub.cn/skills/user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6
- API 元數據：https://api.skillhub.cn/user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6
- 安裝說明：https://skillhub.cn/install/skillhub.md
