claude-security-audit
Web应用全栈安全审计，覆盖OWASP Top 10
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：claude-security-audit。 它的用途是：Web应用全栈安全审计，覆盖OWASP Top 10 完整的 Skill 内容见：https://321skill.com/skills/claude-security-audit/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'/security-audit /path/to/my-web-app'，它会先询问目标环境（开发/测试/生产），然后自动扫描整个项目。扫描完成后，生成一份包含 OWASP 分类、CWE 编号、严重等级、文件位置和修复建议的详细报告，并给出 0-10 的安全评分。例如，它可能发现硬编码的 API 密钥，并给出使用环境变量的修复代码。
介绍
这个 Skill 解决的是 Web 应用安全审计的自动化问题。在开发或部署前，手动检查 OWASP Top 10 漏洞、不安全配置、硬编码密钥、依赖漏洞等既耗时又容易遗漏。该 Skill 能够一次性覆盖 16 个审计维度，包括 HTTP 安全头、认证机制、CSRF、注入（SQL/XSS/命令）、访问控制、CORS、依赖扫描等，并生成带严重等级和修复建议的结构化报告。
使用方式非常简单：安装后，在 Claude Code 中执行 /security-audit /path/to/your/project，AI 会先询问当前环境（开发/测试/生产），然后自动扫描整个项目。扫描过程中，每个发现都通过实际命令（如查看文件内容、git 历史）验证，避免假阳性。最终输出包含 OWASP 映射、CWE 编号、代码行号、修复代码示例以及 10 分制的整体安全评分。
目标用户主要是后端开发、运维工程师和测试工程师。如果你负责 Web 应用的安全质量，希望在代码合并或上线前快速发现潜在风险，这个 Skill 能大幅提升审计效率。它也适合安全团队用作初步筛查工具，在人工渗透测试前先跑一遍。
使用建议：建议集成到 CI/CD 流程中定期运行，但务必注意——报告由 AI 生成，不能替代专业安全审计。每个发现都需要人工复核确认，尤其是严重等级为“CRITICAL”的项，应优先修复。另外，对于非 Web 应用（如桌面客户端、原生移动应用）或纯静态网站，该 Skill 的覆盖范围有限。
核心特点
与同类工具相比，它不只是基于规则扫描，而是通过 Claude Code 的上下文理解能力，结合真实命令（如 git log、文件内容检查）验证每个发现，有效避免假阳性；同时根据 dev/staging/prod 环境调整报告，避免误报开发中的正常配置。
注意事项
不适用于非 Web 应用（如桌面客户端、原生移动应用）或纯前端静态网站，且依赖 Claude Code 运行环境。
常见问题
如何安装这个安全审计 Skill？
将仓库中的 .claude/commands/security-audit.md 文件复制到 ~/.claude/commands/ 目录下即可（全局可用），或复制到项目中的 .claude/commands/ 目录（仅该项目可用）。
审计结果中发现的漏洞如何验证？
每个发现都会附带证明命令（如查看文件内容、git 历史），你可以直接运行这些命令验证。报告中也包含修复代码示例，建议在修复后重新运行一次审计来确认。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/claude-security-audit/raw/index.md 读取 claude-security-audit 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/claude-security-audit/raw/index.md（查看排版版本）