前言¶

Agent 的能力越来越多通过 Skill（SKILL.md 及附属脚本）落地。团队从社区安装技能、或自己维护多份 Skill 时，常见做法是人工翻文档、凭经验看有没有硬编码密钥、危险命令或越权提示。这种方式在技能数量上来之后很难保持一致，也容易漏掉某次改动引入的风险。

下面介绍 SkillHub 上的社区技能「技能安全扫描修复」（坐标 @user_5f9c21aa/skill-security-scanner-pro）。它面向 Skill 文件本身做安全扫描与修复，并在需要时协助验证修复结果，适合在引入或更新 Skill 前后做一次安全检查。

这是什么¶

「技能安全扫描修复」是 SkillHub 分类 it-ops-security 下的社区技能（source: community），当前版本 1.0.0，发布者为 user_5f9c21aa（页面展示作者为 to the moon（红狐数据））。

官方简介概括为：安全扫描和修复 Skill 文件中的高风险内容；当用户需要扫描 Skill、检查安全漏洞、修复安全问题或验证修复效果时使用。页面标签标明 requires_api_key=false，即按 SkillHub 元数据无需单独配置 API Key 即可安装使用。

核心功能¶

依据 SkillHub 公开说明，可核实的能力边界如下：

1. 安全扫描：针对 Skill 相关文件（以通用 SKILL.md 技能格式为上下文）识别高风险内容。
2. 安全问题检查：在用户提出「检查安全漏洞」等需求时，按技能指引对目标 Skill 做漏洞向度的审查。
3. 修复与验证：在发现问题后协助修复，并支持在修复后验证效果。

具体检查项、规则列表与输出格式以安装后的 SKILL.md 为准；本文不展开未在官方页面披露的细则。

安装与启用¶

SkillHub 推荐通过官方安装说明文档与 CLI 安装，而不是手动拼凑目录。

1、安装 SkillHub CLI（若尚未安装）¶

先确认本机是否已有 skillhub：

command -v skillhub && skillhub --version

若未安装，可按 SkillHub 文档执行完整安装（CLI + 默认 Skill）：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash

仅安装 CLI 时：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only

完整步骤与优先源配置见：SkillHub 安装与优先源配置。

2、安装本技能¶

安装时必须用 --dir 指向当前 Agent 实际识别的 skills 目录；默认装到 ./skills/ 时，部分客户端不会加载，且通常需要重启客户端后生效。

SkillHub 页面给出的安装提示为：根据 https://skillhub.cn/install/skillhub.md 安装 @user_5f9c21aa/skill-security-scanner-pro。

在已安装 CLI 的前提下，可按第三节「技能操作」的惯例执行（将 <skills 目录> 换成你当前环境的路径）：

skillhub install user_5f9c21aa/skill-security-scanner-pro --dir <skills 目录>

常用客户端 skills 目录示例（来自 SkillHub 安装文档）：

• Cursor：~/.cursor/skills/
• Claude Code：~/.claude/skills/
• Codex：~/.codex/skills/ 或项目下的 .agents/skills/

也可在对话中把上述安装提示发给 AI，由其按 skillhub.md 完成安装；坐标与版本以 SkillHub 页面为准（当前 v1.0.0）。

典型用法¶

公开资料未附带逐步截图或固定 CLI 子命令，可复现的用法是与技能简介一致的对话式触发：

1. 在 Agent 中启用本技能后，指明要检查的 Skill 路径或仓库内技能目录。
2. 用自然语言说明意图，例如：「扫描这个 Skill 的安全风险」「检查 SKILL.md 是否有高风险指令」「修复并再验证一遍」。
3. Agent 按 SKILL.md 中的流程执行扫描、修复与验证；具体报告格式以技能正文为准。

若你通过 SkillHub CLI 安装，安装完成后重启对应客户端，再在项目或全局 skills 目录中确认已出现 skill-security-scanner-pro（或发布包内实际目录名）。

适用场景与注意¶

适合谁

• 维护多套社区 Skill 或内部 Skill 的团队，希望在合并、发布前统一做安全扫一遍。
• 个人开发者从 SkillHub 拉取 it-ops-security 类技能后，想对本地副本做二次确认。

使用注意

• 本技能是辅助审查与修复指引，不能替代专业渗透测试或组织级安全基线；高风险环境仍应结合人工评审与既有安全流程。
• SkillHub 元数据显示评分为 100000、下载 1020、安装 2（统计随平台更新变化，引用时以页面为准）。
• 社区来源（community）意味着维护节奏与规则更新取决于发布者；升级可用 skillhub 的更新能力（参见安装文档），并对比版本 1.0.0 是否有新版本。

结尾¶

「技能安全扫描修复」把「扫 Skill → 查漏洞 → 修问题 → 验结果」收敛到一条 Agent 技能链路上，适合在技能引入与迭代时降低遗漏风险。安装与坐标以 SkillHub 为准：

• 技能页：https://www.skillhub.cn/skills/user_5f9c21aa/skill-security-scanner-pro
• API 坐标入口：https://api.skillhub.cn/user_5f9c21aa/skill-security-scanner-pro
• 安装说明：https://skillhub.cn/install/skillhub.md