Security Audit 源码安全审查

Security Audit 将源码安全审查组织为架构与信任边界梳理、覆盖范围检查、问题验证、结构化记录、独立复核和报告生成等阶段。它区分已验证问题、待验证线索和已排除项，帮助团队复核问题依据及后续处理范围。

适合自有代码库和服务的防御性审查。普通咨询与完整审计采用不同工作模式；完整流程依赖子代理、Node.js 校验器，以及执行目标代码时的操作系统隔离环境。代码采用 MIT，模型调用成本另计。尚未完成 Tokeny 兼容性或审计效果验证。

使用准备

适用于自有或已获授权的代码库。技能区分普通咨询与完整审计；完整审计需要支持工具调用与子代理的宿主，结构化报告校验器需要 Node.js。执行目标代码、测试或模糊测试还需要操作系统强制隔离及资源限制。

使用示例

审查这个服务的鉴权和文件上传边界，列出证据、影响范围及复现条件，并区分已验证问题与待验证线索。

上游安装方式

如需自行从上游安装，可参考官方页面执行：

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

该命令获取上游当时的内容；本页分发包固定到下述提交。

运行条件与限制

• 缺少子代理、沙箱或依赖工具时，不能视为支持完整审计流程。
• 外部代码与文档可能包含间接提示注入内容，应作为待审查数据处理。
• 没有执行环境或复现证据的发现只能保留为待验证线索，不能写成已确认漏洞。

许可证与费用

代码采用 MIT，不要求技能专属 API Key。完整审计需要多次模型调用，时长和费用取决于代码库规模及所用模型。

版本与验证状态

本页分发版本：1.0.0。上游未提供独立语义版本号，1.0.0 是 Tokeny 首次分发包的编号，来源以固定 Git 提交为准。

固定提交：c1c8a8c1471069fb0e188eeaff69b8e8db6564a8。完整目录及许可证共 21 个文件，逐文件校验上游 Git blob。

尚未在 Tokeny 中安装或运行该技能；完整包校验不代表创作、调试或审计工作流已通过实测。

来源

上游项目 · 固定版本技能目录 · SKILL.md · 上游安装说明